58
Methoden und Beispiele für die probabilistische Bewertung sicher- heitsrelevanter Fragestellungen außerhalb der SÜ S chrif ten Facharbeitskreis Probabilistische Sicherheitsanalyse

Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

Embed Size (px)

Citation preview

Page 1: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

Methoden und Beispiele fuumlr die probabilistische Bewertung sichershyheitsrelevanter Fragestellungen auszligerhalb der SUuml

S chr i f te n

Facharbeitskreis Probabilistische Sicherheitsanalyse

BfE-SCHR-0318

Bitte beziehen Sie sich beim Zitieren dieses Dokuments immer auf folgende URN

urnnbnde0221-2018013014519

Zur Beachtung BfE-Berichte und BfE-Schriften koumlnnen von den Internetseiten des Bundesamtes fuumlr kerntechnische Entsorgungssicherheit unter httpwwwbfebundde kostenlos als Volltexte heruntergeladen werden

Salzgitter Januar 2018

Methoden und Beispiele fuumlr die probabilistische Bewertung sichershyheitsrelevanter Fragestellungen auszligerhalb der SUuml

Schr i f ten

Facharbeitskreis Probabilistische Sicherheitsanalyse

3

ZUSAMMENFASSUNG

Fuumlr die deutschen Kernkraftwerke sind in der Vergangenheit umfassende probabilistische Sicherheitsanaly-sen (PSA) im Rahmen der Sicherheitsuumlberpruumlfung (SUuml) nach sect 19a AtG durchgefuumlhrt worden Dieser Bericht beschreibt einen methodischen Rahmen und gibt Beispiele zur fallweisen Durchfuumlhrung probabilistischer Be-wertungen auszligerhalb der SUuml zur Klaumlrung spezifischer Fragestellungen Diese betreffen zB Aumlnderungen an der Anlage oder ihrer Betriebsweise oder die Bewertung von im Betrieb aufgetretenen sicherheitsrelevanten Ereignissen oder Phaumlnomenen Es wird eine Methodik beschrieben mit der der Einfluss einer gegebenen Fragestellung auf die Ergebnisse der PSA anhand eines Screening-Prozesses ermittelt und die betroffenen Bereiche der PSA identifiziert werden koumlnnen Betrachtet werden sowohl zeitunabhaumlngige Analysen zB fuumlr Aumlnderungsmaszlignahmen als auch zeitabhaumlngige Analysen die uumlblicherweise einen begrenzten Zeitraum be-treffen Die Vorgeschlagene Methodik wird an insgesamt fuumlnf Beispielen aus der Praxis demonstriert

ABSTRACT

In the past comprehensive probabilistic safety analyses (PSA) have been performed for German nuclear power plants as part of the periodic safety review according to sect 19a AtG This report describes a methodo-logical framework and provides examples for using probabilistic considerations on a case by case basis beyond the scope of the periodic safety review in order to address specific issues Predominantly these issues are related to plant changes or changes in its operation or the assessment of safety relevant events that have occurred during operation A methodology is described for determining the impact of a given issue on the PSA results by means of a screening process which also allows identifying the affected areas of the PSA Both time independent considerations eg for plant changes as well as time-dependent considerati-ons which usually concern temporary measures are addressed The proposed methodology is demonst-rated by a total of five examples from the field

4

5

INHALTSVERZEICHNIS

ZUSAMMENFASSUNG 3

ABSTRACT 3

INHALTSVERZEICHNIS 5

ABBILDUNGSVERZEICHNIS 7

TABELLENVERZEICHNIS 7

ABKUumlRZUNGSVERZEICHNIS 8

VORWORT 11

1 ZIELSETZUNGEN PROBABILISTISCHER BEWERTUNGEN AUSSERHALB DER SUuml 13

2 ANWENDUNGSGEBIETE 13

21 Allgemeines 13

22 Vorgehensweise 13

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS 15

31 Aumlnderungsmaszlignahmen 15

32 Ereignis- bzw anlassbezogene Fragestellungen 18

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN 18

5 VORGEHEN BEI DER BEWERTUNG 19

51 Aumlnderungsmaszlignahmen 20

52 Ereignis- bzw anlassbezogene Fragestellungen 20

LITERATURVERZEICHNIS 22

ANHAumlNGE 24

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGESTELLUNG 25

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DIE PSA-MODELLIERUNG 26

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY) 35

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE 38

6

ANHANG 5 KONKRETE BEISPIELE 39

A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung) 39

A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung) 41

A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung) 44

A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung) 47

A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung) 50

LITERATURVERZEICHNIS 54

BEGRIFFE 55

7

ABBILDUNGSVERZEICHNIS

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme 16

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit 43

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung) 49

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung) 49

TABELLENVERZEICHNIS

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung 17

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung) 40

8

ABKUumlRZUNGSVERZEICHNIS

A

AtG Atomgesetz

B

BE Brennelement Basisereignis BHB Betriebshandbuch BMUB Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit

D

DAF sekundaumlrseitiger Druckabfall (Reaktorschutzsignal) DH Druckhalter

E

EDW Explosionsdruckwelle

F

FAK PSA Facharbeitskreis probabilistische Sicherheitsanalyse FD Frischdampf FLAB Flugzeugabsturz

G

GVA Gemeinsam verursachter Ausfall

H

HGZ Haumlufigkeit von Gefaumlhrdungszustaumlnden

I

IAEA International Atomic Energy Agency

K

KKW Kernkraftwerk

M

ME Meldepflichtiges Ereignis

N

NLB Nichtleistungsbetrieb NHB Notfallhandbuch

P

PKL Primaumlrkreislauf PSA Probabilistische Sicherheitsanalyse PSF Performance Shaping Factor PSUuml Periodische Sicherheitsuumlberpruumlfung vgl SUuml

R

RESA Reaktorschnellabschaltung RSK Reaktorsicherheitskommission RSP Risk Spectrum (Software)

9

S

sbR schriftliche betriebliche Regelung SUuml Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a AtG SWR Siedewasserreaktor

T

TUSA Turbinenschnellabschaltung

W

WKP Wiederkehrende Pruumlfung

10

11

VORWORT

Fuumlr die deutschen Kernkraftwerke sind in der Vergangenheit probabilistische Sicherheitsanalysen im Rah-men der Sicherheitsuumlberpruumlfung (SUuml) nach sect 19a AtG auf der Basis des Leitfadens Probabilistische Sicher-heitsanalyse BA 05 durchgefuumlhrt worden Die im November 2012 verabschiedeten Sicherheitsanforderungen an Kernkraftwerke BA 15 fordern in 5 (5b) bdquoIn Ergaumlnzung der deterministischen Nachweisfuumlhrungen muumlssen probabilistische Sicherheitsanalysen zu-dem durchgefuumlhrt werden um die sicherheitstechnische Relevanz bull von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie bull von Erkenntnissen die aus aufgetretenen sicherheitsrelevanten Ereignissen oder Phaumlnomenen bekannt

geworden sind und deren Uumlbertragbarkeit auf die im Anwendungsbereich der bdquoSicherheitsanforderungen an KKWldquo benannten Kernkraftwerke in Deutschland gegeben ist

bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist zu bewertenldquo

Hierdurch gibt es im deutschen kerntechnischen Regelwerk die Anforderung sicherheitstechnische Frage-stellungen auszligerhalb der SUuml probabilistisch zu bewerten Daher wurde der FAK PSA vom BMUB beauftragt einen sich aus diesen Anforderungen ergebenden methodischen Ergaumlnzungsbedarf zu identifizieren und entsprechende methodische Hilfestellungen zu erarbeiten Mit dieser Anwendungsunterlage legt der FAK PSA seine Beratungsergebnisse vor Hierin wird ein grund-saumltzlicher methodischer Rahmen zur Einbeziehung probabilistischer Methoden bei der Bewertung sicher-heitstechnisch relevanter Fragestellungen auszligerhalb der SUuml vorgeschlagen Es werden keine Aussagen uumlber aufsichtliche Aspekte bezuumlglich der Erfuumlllung der oben genannten Anforderungen in atomrechtlichen Verfahren gemacht Eine Reihe von konkreten Beispielen aus der Praxis dokumentiert daruumlber hinaus einen Teil der in Deutsch-land auf diesem Gebiet bereits gemachten Erfahrungen und illustriert das vorgeschlagene Vorgehen

12

13

1 ZIELSETZUNGEN PROBABILISTISCHER BEWERTUNGEN AUSSERHALB DER SUuml Probabilistische Untersuchungen zur gesamtheitlichen Bewertung konkreter sicherheitstechnischer Frage-stellungen auszligerhalb der SUuml koumlnnen durchgefuumlhrt werden um ergaumlnzend zur deterministischen Nachweis-fuumlhrung zusaumltzliche Erkenntnisse mit diesem im Vergleich zu einer deterministischen Vorgehensweise me-thodisch anderen Ansatz zu gewinnen Damit koumlnnen gegebenenfalls zusaumltzliche sicherheitsrelevante Er-kenntnisse zur Unterstuumltzung von Entscheidungsprozessen identifiziert und bewertet werden

2 ANWENDUNGSGEBIETE 21 ALLGEMEINES Uumlber die Nutzung probabilistischer Untersuchungen in den wiederkehrenden SUuml hinaus koumlnnen probabilisti-sche Untersuchungen in folgenden Anwendungsgebieten zum Einsatz kommen bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Mit einer probabilistischen Bewertung kann ihre sicherheitstechnische Relevanz gezeigt werden d h welche Auswirkung die jeweilige Aumlnderung auf das Sicherheitsniveau einer Anlage hat

bull Ereignisse oder Anlaumlsse aus dem Betrieb der Anlage d h Erkenntnisse die aus aufgetretenen sicher-heitsrelevanten Ereignissen oder Phaumlnomenen bekannt geworden sind Diese koumlnnen sich z B auf Mel-depflichtige Ereignisse (ME) Stoumlrungen betriebliche Ausfaumllle Instandsetzungszeiten festzulegende Strategien bei mehreren zulaumlssigen Varianten oder temporaumlre Modifikationen von Hardware-Konfigurati-onen beziehen Die Anwendung probabilistischer Methoden bei derartigen ereignis- bzw anlassbezogenen Fragestellun-gen zielt ebenfalls auf die sicherheitstechnische Bewertung der Auswirkungen auf das Sicherheitsni-veau d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung ab (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strategien)

Die unterschiedlichen Anwendungsgebiete sind in den Abschnitten 22 und 3 charakterisiert

22 VORGEHENSWEISE Es soll die Frage beantwortet werden ob bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage oder bull zu bewertende ereignis- bzw anlassbezogene Fragestellungen einen nennenswerten Einfluss auf die Ergebnisse der PSA erwarten lassen Dies erfordert nicht immer die Durchfuumlhrung von umfangreichen probabilistischen Bewertungen Daher wird hierfuumlr ein gestaffeltes Verfah-ren vorgeschlagen (vgl Screening-Prozess in Abschnitt 3) um nachvollziehbar einordnen und festlegen zu koumlnnen ob derartige ergaumlnzende probabilistische Bewertungen durchzufuumlhren sind Ein zu erwartender Einfluss kann dahingehend bewertet werden in welchem Umfang er eine Veraumlnderung des probabilistischen Ergebnisses zur Folge hat und wie sich diese Aumlnderung gegenuumlber Orientierungswer-ten (vgl Angaben in der RSK-Stellungnahme aus der 460 Sitzung bdquoRSK-Verstaumlndnis der Sicherheitsphiloso-phie RSK 13) darstellt Was ein bdquonennenswerter Einflussldquo ist sollte im Einzelfall begruumlndet werden In einem ersten Schritt ist es oft ausreichend mit Hilfe eines Fragebogens (wie z B in Anhang 1) und ver-einfachten Methoden Bewertungen vorzunehmen Im Rahmen der Anwendung probabilistischer Methoden kann gegebenenfalls in einem zweiten Schritt zur Feststellung der moumlglichen Auswirkungen der betrachteten sicherheitstechnischen Fragestellung auf die PSA-Modellierung eine detaillierte Fragenliste (vgl Anhang 2) als systematisches Hilfsmittel herangezogen werden Dabei ist zu beachten dass die Auswirkungen z T direkt analysiert werden koumlnnen z T jedoch nur indirekt feststell- und bewertbar sind (z B ob das Ausfallverhalten einer passiven Komponente die von der sicherheitstechnischen Fragestellung betroffen ist weiterhin als numerisch vernachlaumlssigbar gegenuumlber dem Ausfallverhalten aktiver Komponenten angenommen werden kann)

14

Als Ergebnis dieser Untersuchung bull kann der Teil der PSA-Modellierung identifiziert werden der von der sicherheitstechnischen Fragestel-

lung betroffen ist bull koumlnnen die Teile der PSA festgestellt werden die modifiziert werden sollten bull koumlnnen die Analysen identifiziert werden die zur ergaumlnzenden probabilistischen Bewertung der sicher-

heitstechnischen Fragestellung durchgefuumlhrt werden sollten

Auszligerdem koumlnnen anhand dieser Untersuchung der Umfang und die Tiefe der notwendigen Analysen ermit-telt werden Im Hinblick auf den Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifischen PSA die derzeit be-stimmte Bereiche nicht enthalten ist zunaumlchst qualitativ zu untersuchen (vgl Anhang 2) ob die sicherheits-technische Fragestellung diese nicht analysierten Bereiche beeinflusst Ist das der Fall sind danach abde-ckende auch qualitative Betrachtungen oder gegebenenfalls Sensitivitaumltsuntersuchungen durchzufuumlhren (vgl Anhang 4) wobei auch deterministische Zuverlaumlssigkeitsprinzipien wie die Bewertung von z B Redun-danz Diversitaumlt oder vorgesehenen Maszlignahmen fuumlr die nicht analysierten Bereiche herangezogen werden koumlnnen Wichtig ist dass auf diesen Aspekt eingegangen wird und nicht der moumlglicherweise unzutreffende Ruumlckschluss gezogen wird dass Auswirkungen sicherheitstechnischer Fragestellungen nicht risikorelevant seien weil sie in den anlagenspezifischen PSA derzeit nicht analysierte Bereiche beeinflussen Zur Bewertung der Auswirkungen der sicherheitstechnischen Fragestellung kann es notwendig sein den De-taillierungsgrad d h Modellierungstiefe und -umfang der anlagenspezifischen PSA zu vergroumlszligern oder zu ergaumlnzen (z B modulare Darstellung leittechnischer Systemfunktionen Beruumlcksichtigung passiver Kompo-nenten) Die Modifikationen koumlnnen entweder im PSA-Modell selbst erfolgen oder moumlgliche Auswirkungen koumlnnen durch Sensitivitaumltsanalysen eingegrenzt oder durch qualitative Betrachtungen bewertet werden Nachdem die moumlglichen Auswirkungen der sicherheitstechnischen Fragestellungen auf die PSA-Modellie-rung ermittelt worden sind sind gegebenenfalls die entsprechenden Modifikationen in der Modellierung der zugrundeliegenden PSA die als Ausgangsbasis herangezogen wird durchzufuumlhren und zu dokumentieren Fuumlr eine effiziente Abwicklung sollten Prozeduren unter Einbeziehung notwendiger Gesichtspunkte der Qua-litaumltssicherung Anwendung finden vgl z B Anhang 3

15

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS Ein Screening-Prozess sollte fuumlr die in Abschnitt 2 genannten Anwendungsgebiete durchgefuumlhrt werden

31 AumlNDERUNGSMAszligNAHMEN Fuumlr Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage nachfolgend kurz Aumlnde-rungsmaszlignahmen genannt sollte eine Einordnung in drei Kategorien vorgenommen werden die den zu er-wartenden Einfluss auf die PSA angeben Diese Kategorien sind in Tabelle 1 und Abbildung 1 definiert sie werden mit a b und c bezeichnet Von Aumlnderungsmaszlignahmen der Kategorie a wird kein Einfluss auf die PSA erwartet Kriterien nach denen eine Zuordnung zur Kategorie a vorgenommen werden kann sind bull Es werden Komponenten oder Teile davon gegen gleichwertige ausgetauscht In diesem Fall sind in der

PSA die gleichen Zuverlaumlssigkeitskenngroumlszligen zu verwenden wie bisher und das Ergebnis kann sich nicht aumlndern Dies gilt nicht wenn sich der Komponententyp aumlndert z B Ersetzung einer Klappe durch einen Schieber

bull Es handelt sich um eine Reparaturmaszlignahme bei der der Sollzustand wieder hergestellt wird bull Es handelt sich um eine Ersatzteilbeschaffung bull Es handelt sich um Brennelement-Antransport -Abtransport oder -Einlagerung bull Es handelt sich um eine Aumlnderung der Dokumentation Eine gegebenenfalls zugrunde liegende Anla-

genaumlnderung ist dagegen zu betrachten

Im Weiteren koumlnnen zur Unterstuumltzung und nachvollziehbaren Dokumentation der Zuordnung zu den Kate-gorien die 14 Fragen gemaumlszlig Anhang 1 herangezogen werden Von Aumlnderungsmaszlignahmen der Kategorie b wird zwar grundsaumltzlich ein Einfluss auf die PSA erwartet aller-dings kein nennenswerter Einfluss auf ihre Ergebnisse (weder direkt noch indirekt vgl Abschnitt 22) Hier-von betroffen sind auch die Bereiche die auszligerhalb des Umfangs der als Ausgangsbasis verfuumlgbaren anla-genspezifischen PSA liegen Eine eventuelle Aktualisierung der PSA als Konsequenz von Aumlnderungsmaszlig-nahmen der Kategorie b d h die Integration der durchgefuumlhrten Aumlnderungen in das PSA-Modell sollte tur-nusgemaumlszlig erfolgen (Zeitraum kuumlrzer als SUuml-Zyklus vgl Abschnitt 5)

16

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme

17

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung

Kategorie Einfluss auf die PSA er-wartet

Nennenswer-ter Einfluss auf die Ergeb-nisse der PSA

Probabilistische Bewertung bei Abwicklung der Aumlnderung

Modellierung Aktualisierung PSA

Anmerkungen

a nein nein nein nein

b ja nein weder direkt noch indirekt

nein zu gegebener Zeit In-tegration der Erkennt-nisse aus der Aumlnde-rungsmaszlignahme in die PSA-Modellierung

gegebenenfalls spaumltere bzw zusammenfas-sende Bewertung der Aumlnderungsmaszlig-nahme u U Vorschlaumlge fuumlr Modifikationen im PSA-Modell (vergleichbar betriebsbeglei-tender Pruumlfung)

c ja ja direkt oder indi-rekt

ja in Ergaumlnzung zur deterministischen Bewertung

zeitgleiche zeitnahe Modellierung Aktuali-sierung der PSA-Model-lierung

unmittelbare Ruumlckkopplung zur Aumlnderungs-maszlignahme Voraussetzung konkrete Infor-mationen liegen vor (gegebenenfalls Ergaumln-zung bezuumlglich bisherigem Stand)

18

Eine nachtraumlgliche zusammenfassende probabilistische Bewertung mehrerer realisierter Aumlnderungsmaszlignah-men kann ergaumlnzend durchgefuumlhrt werden Fuumlr realisierte Aumlnderungsmaszlignahmen der Kategorie b wuumlrden sich dadurch u U ndash vergleichbar einer betriebsbegleitenden Pruumlfung und Kontrolle in anderen Bereichen oder der bisherigen Sicherheitsuumlberpruumlfung ndash Vorschlaumlge fuumlr Modifikationen im PSA-Modell ergeben Aumlnderungsmaszlignahmen bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist (Kategorie c) sollen einer probabilistischen Bewertung unterzogen werden Bei diesen Aumlnderungsmaszlignah-men empfiehlt sich eine zeitnahe Aktualisierung der PSA Unter Umstaumlnden ergibt sich fuumlr die probabilisti-sche Bewertung die Veranlassung von Parameter- bzw Sensitivitaumltsstudien wie es z B fuumlr probabilistische Bewertungen vor Genehmigung und Errichtung einer Anlage international uumlblich ist

32 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Fuumlr die zu treffende Entscheidung ob bei konkreten ereignis- bzw anlassbezogenen Fragestellungen proba-bilistische Untersuchungen durchzufuumlhren sind kann in Anlehnung an die beschriebene Vorgehensweise fuumlr die Kategorisierung von Aumlnderungsmaszlignahmen vorgegangen werden Die entsprechenden Kategorien fuumlr ereignis- bzw anlassbezogene Fragestellungen werden im Folgenden mit α β und γ bezeichnet Zur Unter-stuumltzung und nachvollziehbaren Dokumentation koumlnnen ebenfalls die 14 Fragen gemaumlszlig Anhang 1 herange-zogen werden d h es wird uumlberlegt und abgefragt ob z B ein aufgetretenes meldepflichtiges Ereignis Auswirkungen auf das bisherige Spektrum ausloumlsender Ereignisse auf die zugrunde gelegten Wirksamkeits-bedingungen auf die angenommenen Ereignisablaufsequenzen usw haben kann Probabilistische Untersu-chungen derartiger ereignis- bzw anlassbezogener Fragestellungen zielen ebenfalls auf die sicherheitstech-nische Bewertung der Auswirkungen auf das Sicherheitsniveau ab d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strate-gien) Insofern ist die Kategorie α vergleichbar der Kategorie a im Falle von Aumlnderungsmaszlignahmen d h es wird kein Einfluss auf die PSA der Anlage erwartet Wenn von einer ereignis- bzw anlassbezogenen Fragestellung keine nennenswerte Auswirkung auf die je-weils vorliegende PSA erwartet wird faumlllt diese in die Kategorie β Eine eventuelle Aktualisierung der PSA entfaumlllt aufgrund der zeitlichen Beschraumlnkung des Ereignisses bzw des Anlasses vgl auch Abschnitt 52 Fuumlr die Faumllle bei denen fuumlr eine ereignis- bzw anlassbezogene Fragestellung eine nennenswerte Auswir-kung auf die Ergebnisse der vorliegende PSA zu erwarten ist soll in Ergaumlnzung der deterministischen Be-wertung auch eine probabilistische Bewertung durchgefuumlhrt werden Hierbei ist zu beachten dass spezifi-sche Randbedingungen von denen der vorliegenden PSA abweichen koumlnnen Beispiele fuumlr diese Randbe-dingungen sind unter anderem (vgl ENSI 15) bull Die Dauer der Nichtverfuumlgbarkeit einer Komponente bull die der ereignis- bzw anlassbezogenen Fragestellung zugeordnete Anlagenkonfiguration wie zum Bei-

spiel keine weitere Nichtverfuumlgbarkeit aufgrund vorgezogener Instandhaltung oder kompensatorischer Maszlignahmen

bull die aktuell vorliegenden Systemschaltungen die zB eine veraumlnderte Verfuumlgbarkeit eines Systems be-deuten

bull die eventuelle Uumlbertragbarkeit des Anlasses auf weitere Komponenten zB Neubewertung der Verfuumlg-barkeit

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN Die Methoden Vorgehensweisen und Randbedingungen zur Erstellung probabilistischer Analysen im Rah-men der SUuml sind in dem PSA-Leitfaden BA 05 bzw in den zugehoumlrigen Methoden- und Datenbaumlnden METH 05 DAT 05 festgelegt (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) und im Grundsatz auch fuumlr die sicherheitstechnische Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen soweit moumlg-lich und sinnvoll anzuwenden Um die sicherheitstechnisch relevanten Fragestellungen beantworten zu koumln-nen ist es jedoch moumlglicherweise erforderlich detaillierter und realistischer zu modellieren Generell sind die probabilistischen Untersuchungen nur dort anzuwenden wo der Stand der Methodik und die verfuumlgbaren Daten dies erlauben Bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen sind Vorgehen Umfang und Detaillierungsgrad fallbezogen anzupassen Ein solcher gestaffelter Bewertungsansatz wird auch in IAEA GSR Part 4 Kap 3 IAEA 16 beschrieben

19

Im Falle einer detaillierten probabilistischen Bewertung ist eine wesentliche Randbedingung dass die fuumlr probabilistische Untersuchungen verwendeten Modellierungen und Zuverlaumlssigkeitskenngroumlszligen dem aktuel-len Anlagenzustand entsprechen Konkrete Beispiele zur Durchfuumlhrung solcher probabilistischer Untersuchungen sind in Anhang 5 aufgefuumlhrt Moumlgliche Auswirkungen (direkte und indirekte) der zu untersuchenden Fragestellung auf die Modellierung der probabilistischen Untersuchungen sind festzustellen und nachvollziehbar zu dokumentieren Sind von der zu untersuchenden Fragestellung zusaumltzlich nicht analysierte Bereiche bezuumlglich der vorliegenden pro-babilistischen Untersuchungen betroffen ist in geeigneter Weise auf diesen Aspekt einzugehen (vgl auch Abschnitt 32) Fuumlr alle Zustaumlnde (z B vor und nach einer Aumlnderung oder mehrere geplante Strategien) sind abhaumlngig von der zu untersuchenden Fragestellung nachvollziehbare quantitative und qualitative Daten und Informationen bereitzustellen Abhaumlngig von den relevanten Analysesachverhalten betrifft dies z B folgende Daten bzw Informationen bull Zuverlaumlssigkeitskenngroumlszligen bull Nichtverfuumlgbarkeiten und Unsicherheiten von Basisereignissen Fehlerbaumlumen Systemfunktionen Si-

cherheitsfunktionen bull Eintrittshaumlufigkeiten von Ereignisablaufsequenzen ausloumlsenden Ereignissen oder Endzustaumlnden bull Gesamtergebnis (z B Haumlufigkeit von Brennstabschadenszustaumlnden) und bull Importanz und Sensitivitaumlt von Zuverlaumlssigkeitskenngroumlszligen Basisereignissen und -gruppen sowie bull Modellierung des Ausfallverhaltens bull Beruumlcksichtigung und Modellierung von gemeinsam verursachten Ausfaumlllen bull Beruumlcksichtigung und Modellierung von Personalhandlungen bull Beruumlcksichtigung und Bewertung von Unsicherheiten bull Zusammensetzung von Minimalschnitten bull Bewertung von Ereignisablaufsequenzen hinsichtlich ihrer Endzustaumlnde sowie der Uumlbergaumlnge aus rele-

vanten Zwischenzustaumlnden

Ein grundlegender Unterschied bei der sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen im Vergleich zu ereignis- bzw anlassbezogenen Fragestellungen besteht darin dass sich erstere im Allgemei-nen auf eine Aumlnderung des Zustands der Anlage beziehen der andauert und sich auf das ganze Jahr be-zieht waumlhrend letztere sich auf temporaumlre Aumlnderungen beziehen Auch ist bei der sicherheitstechnischen Bewertung ereignis- bzw anlassbezogener Fragestellungen im Allgemeinen der zugrunde zu legende Zeit-raum eingrenzbar Bei probabilistischen Untersuchungen von ereignis- bzw anlassbezogenen Fragestellungen ist weiter zu dif-ferenzieren zwischen aufgetretenen Ereignissen und der Bewertung von Strategien bei mehreren zulaumlssigen Varianten Deshalb sind insbesondere bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen fuumlr ereignis- bzw anlassbezogenen Fragestellungen zeitabhaumlngige Analysen durchzufuumlhren welche die temporaumlren Aumln-derungen in den jeweiligen Zeitraumlumen zutreffend in den Modellierungen beruumlcksichtigen

5 VORGEHEN BEI DER BEWERTUNG Die probabilistische Bewertung der zu untersuchenden Fragestellung ist fallbezogen unter Beruumlcksichtigung der Unsicherheiten fuumlr die verschiedenen Ebenen der Modellierung der probabilistischen Untersuchungen durchzufuumlhren z B fuumlr Zuverlaumlssigkeitskenngroumlszligen Basisereignisse Fehlerbaumlume Systemfunktionen Si-cherheitsfunktionen Ereignisablaufsequenzen ausloumlsende Ereignisse und das Gesamtergebnis vgl auch Abschnitt 4 Daruumlber hinaus liefern die qualitativen Ergebnisse der anlagenspezifischen PSA ergaumlnzende Informationen und systematische Erkenntnisse Dafuumlr koumlnnen die Minimalschnitte der einzelnen Ereignisablaufsequenzen im Hinblick auf ihre Zusammensetzung ihre Beitraumlge sowie ihre jeweiligen Unsicherheiten analysiert wer-den Bei der Analyse und Bewertung der Minimalschnitte sollten administrative Regelungen oder Personal-handlungen besonders beachtet werden insbesondere solche die gewisse Schwaumlchen in der Anlagenaus-legung kompensieren sollen

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 2: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

BfE-SCHR-0318

Bitte beziehen Sie sich beim Zitieren dieses Dokuments immer auf folgende URN

urnnbnde0221-2018013014519

Zur Beachtung BfE-Berichte und BfE-Schriften koumlnnen von den Internetseiten des Bundesamtes fuumlr kerntechnische Entsorgungssicherheit unter httpwwwbfebundde kostenlos als Volltexte heruntergeladen werden

Salzgitter Januar 2018

Methoden und Beispiele fuumlr die probabilistische Bewertung sichershyheitsrelevanter Fragestellungen auszligerhalb der SUuml

Schr i f ten

Facharbeitskreis Probabilistische Sicherheitsanalyse

3

ZUSAMMENFASSUNG

Fuumlr die deutschen Kernkraftwerke sind in der Vergangenheit umfassende probabilistische Sicherheitsanaly-sen (PSA) im Rahmen der Sicherheitsuumlberpruumlfung (SUuml) nach sect 19a AtG durchgefuumlhrt worden Dieser Bericht beschreibt einen methodischen Rahmen und gibt Beispiele zur fallweisen Durchfuumlhrung probabilistischer Be-wertungen auszligerhalb der SUuml zur Klaumlrung spezifischer Fragestellungen Diese betreffen zB Aumlnderungen an der Anlage oder ihrer Betriebsweise oder die Bewertung von im Betrieb aufgetretenen sicherheitsrelevanten Ereignissen oder Phaumlnomenen Es wird eine Methodik beschrieben mit der der Einfluss einer gegebenen Fragestellung auf die Ergebnisse der PSA anhand eines Screening-Prozesses ermittelt und die betroffenen Bereiche der PSA identifiziert werden koumlnnen Betrachtet werden sowohl zeitunabhaumlngige Analysen zB fuumlr Aumlnderungsmaszlignahmen als auch zeitabhaumlngige Analysen die uumlblicherweise einen begrenzten Zeitraum be-treffen Die Vorgeschlagene Methodik wird an insgesamt fuumlnf Beispielen aus der Praxis demonstriert

ABSTRACT

In the past comprehensive probabilistic safety analyses (PSA) have been performed for German nuclear power plants as part of the periodic safety review according to sect 19a AtG This report describes a methodo-logical framework and provides examples for using probabilistic considerations on a case by case basis beyond the scope of the periodic safety review in order to address specific issues Predominantly these issues are related to plant changes or changes in its operation or the assessment of safety relevant events that have occurred during operation A methodology is described for determining the impact of a given issue on the PSA results by means of a screening process which also allows identifying the affected areas of the PSA Both time independent considerations eg for plant changes as well as time-dependent considerati-ons which usually concern temporary measures are addressed The proposed methodology is demonst-rated by a total of five examples from the field

4

5

INHALTSVERZEICHNIS

ZUSAMMENFASSUNG 3

ABSTRACT 3

INHALTSVERZEICHNIS 5

ABBILDUNGSVERZEICHNIS 7

TABELLENVERZEICHNIS 7

ABKUumlRZUNGSVERZEICHNIS 8

VORWORT 11

1 ZIELSETZUNGEN PROBABILISTISCHER BEWERTUNGEN AUSSERHALB DER SUuml 13

2 ANWENDUNGSGEBIETE 13

21 Allgemeines 13

22 Vorgehensweise 13

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS 15

31 Aumlnderungsmaszlignahmen 15

32 Ereignis- bzw anlassbezogene Fragestellungen 18

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN 18

5 VORGEHEN BEI DER BEWERTUNG 19

51 Aumlnderungsmaszlignahmen 20

52 Ereignis- bzw anlassbezogene Fragestellungen 20

LITERATURVERZEICHNIS 22

ANHAumlNGE 24

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGESTELLUNG 25

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DIE PSA-MODELLIERUNG 26

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY) 35

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE 38

6

ANHANG 5 KONKRETE BEISPIELE 39

A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung) 39

A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung) 41

A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung) 44

A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung) 47

A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung) 50

LITERATURVERZEICHNIS 54

BEGRIFFE 55

7

ABBILDUNGSVERZEICHNIS

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme 16

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit 43

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung) 49

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung) 49

TABELLENVERZEICHNIS

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung 17

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung) 40

8

ABKUumlRZUNGSVERZEICHNIS

A

AtG Atomgesetz

B

BE Brennelement Basisereignis BHB Betriebshandbuch BMUB Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit

D

DAF sekundaumlrseitiger Druckabfall (Reaktorschutzsignal) DH Druckhalter

E

EDW Explosionsdruckwelle

F

FAK PSA Facharbeitskreis probabilistische Sicherheitsanalyse FD Frischdampf FLAB Flugzeugabsturz

G

GVA Gemeinsam verursachter Ausfall

H

HGZ Haumlufigkeit von Gefaumlhrdungszustaumlnden

I

IAEA International Atomic Energy Agency

K

KKW Kernkraftwerk

M

ME Meldepflichtiges Ereignis

N

NLB Nichtleistungsbetrieb NHB Notfallhandbuch

P

PKL Primaumlrkreislauf PSA Probabilistische Sicherheitsanalyse PSF Performance Shaping Factor PSUuml Periodische Sicherheitsuumlberpruumlfung vgl SUuml

R

RESA Reaktorschnellabschaltung RSK Reaktorsicherheitskommission RSP Risk Spectrum (Software)

9

S

sbR schriftliche betriebliche Regelung SUuml Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a AtG SWR Siedewasserreaktor

T

TUSA Turbinenschnellabschaltung

W

WKP Wiederkehrende Pruumlfung

10

11

VORWORT

Fuumlr die deutschen Kernkraftwerke sind in der Vergangenheit probabilistische Sicherheitsanalysen im Rah-men der Sicherheitsuumlberpruumlfung (SUuml) nach sect 19a AtG auf der Basis des Leitfadens Probabilistische Sicher-heitsanalyse BA 05 durchgefuumlhrt worden Die im November 2012 verabschiedeten Sicherheitsanforderungen an Kernkraftwerke BA 15 fordern in 5 (5b) bdquoIn Ergaumlnzung der deterministischen Nachweisfuumlhrungen muumlssen probabilistische Sicherheitsanalysen zu-dem durchgefuumlhrt werden um die sicherheitstechnische Relevanz bull von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie bull von Erkenntnissen die aus aufgetretenen sicherheitsrelevanten Ereignissen oder Phaumlnomenen bekannt

geworden sind und deren Uumlbertragbarkeit auf die im Anwendungsbereich der bdquoSicherheitsanforderungen an KKWldquo benannten Kernkraftwerke in Deutschland gegeben ist

bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist zu bewertenldquo

Hierdurch gibt es im deutschen kerntechnischen Regelwerk die Anforderung sicherheitstechnische Frage-stellungen auszligerhalb der SUuml probabilistisch zu bewerten Daher wurde der FAK PSA vom BMUB beauftragt einen sich aus diesen Anforderungen ergebenden methodischen Ergaumlnzungsbedarf zu identifizieren und entsprechende methodische Hilfestellungen zu erarbeiten Mit dieser Anwendungsunterlage legt der FAK PSA seine Beratungsergebnisse vor Hierin wird ein grund-saumltzlicher methodischer Rahmen zur Einbeziehung probabilistischer Methoden bei der Bewertung sicher-heitstechnisch relevanter Fragestellungen auszligerhalb der SUuml vorgeschlagen Es werden keine Aussagen uumlber aufsichtliche Aspekte bezuumlglich der Erfuumlllung der oben genannten Anforderungen in atomrechtlichen Verfahren gemacht Eine Reihe von konkreten Beispielen aus der Praxis dokumentiert daruumlber hinaus einen Teil der in Deutsch-land auf diesem Gebiet bereits gemachten Erfahrungen und illustriert das vorgeschlagene Vorgehen

12

13

1 ZIELSETZUNGEN PROBABILISTISCHER BEWERTUNGEN AUSSERHALB DER SUuml Probabilistische Untersuchungen zur gesamtheitlichen Bewertung konkreter sicherheitstechnischer Frage-stellungen auszligerhalb der SUuml koumlnnen durchgefuumlhrt werden um ergaumlnzend zur deterministischen Nachweis-fuumlhrung zusaumltzliche Erkenntnisse mit diesem im Vergleich zu einer deterministischen Vorgehensweise me-thodisch anderen Ansatz zu gewinnen Damit koumlnnen gegebenenfalls zusaumltzliche sicherheitsrelevante Er-kenntnisse zur Unterstuumltzung von Entscheidungsprozessen identifiziert und bewertet werden

2 ANWENDUNGSGEBIETE 21 ALLGEMEINES Uumlber die Nutzung probabilistischer Untersuchungen in den wiederkehrenden SUuml hinaus koumlnnen probabilisti-sche Untersuchungen in folgenden Anwendungsgebieten zum Einsatz kommen bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Mit einer probabilistischen Bewertung kann ihre sicherheitstechnische Relevanz gezeigt werden d h welche Auswirkung die jeweilige Aumlnderung auf das Sicherheitsniveau einer Anlage hat

bull Ereignisse oder Anlaumlsse aus dem Betrieb der Anlage d h Erkenntnisse die aus aufgetretenen sicher-heitsrelevanten Ereignissen oder Phaumlnomenen bekannt geworden sind Diese koumlnnen sich z B auf Mel-depflichtige Ereignisse (ME) Stoumlrungen betriebliche Ausfaumllle Instandsetzungszeiten festzulegende Strategien bei mehreren zulaumlssigen Varianten oder temporaumlre Modifikationen von Hardware-Konfigurati-onen beziehen Die Anwendung probabilistischer Methoden bei derartigen ereignis- bzw anlassbezogenen Fragestellun-gen zielt ebenfalls auf die sicherheitstechnische Bewertung der Auswirkungen auf das Sicherheitsni-veau d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung ab (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strategien)

Die unterschiedlichen Anwendungsgebiete sind in den Abschnitten 22 und 3 charakterisiert

22 VORGEHENSWEISE Es soll die Frage beantwortet werden ob bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage oder bull zu bewertende ereignis- bzw anlassbezogene Fragestellungen einen nennenswerten Einfluss auf die Ergebnisse der PSA erwarten lassen Dies erfordert nicht immer die Durchfuumlhrung von umfangreichen probabilistischen Bewertungen Daher wird hierfuumlr ein gestaffeltes Verfah-ren vorgeschlagen (vgl Screening-Prozess in Abschnitt 3) um nachvollziehbar einordnen und festlegen zu koumlnnen ob derartige ergaumlnzende probabilistische Bewertungen durchzufuumlhren sind Ein zu erwartender Einfluss kann dahingehend bewertet werden in welchem Umfang er eine Veraumlnderung des probabilistischen Ergebnisses zur Folge hat und wie sich diese Aumlnderung gegenuumlber Orientierungswer-ten (vgl Angaben in der RSK-Stellungnahme aus der 460 Sitzung bdquoRSK-Verstaumlndnis der Sicherheitsphiloso-phie RSK 13) darstellt Was ein bdquonennenswerter Einflussldquo ist sollte im Einzelfall begruumlndet werden In einem ersten Schritt ist es oft ausreichend mit Hilfe eines Fragebogens (wie z B in Anhang 1) und ver-einfachten Methoden Bewertungen vorzunehmen Im Rahmen der Anwendung probabilistischer Methoden kann gegebenenfalls in einem zweiten Schritt zur Feststellung der moumlglichen Auswirkungen der betrachteten sicherheitstechnischen Fragestellung auf die PSA-Modellierung eine detaillierte Fragenliste (vgl Anhang 2) als systematisches Hilfsmittel herangezogen werden Dabei ist zu beachten dass die Auswirkungen z T direkt analysiert werden koumlnnen z T jedoch nur indirekt feststell- und bewertbar sind (z B ob das Ausfallverhalten einer passiven Komponente die von der sicherheitstechnischen Fragestellung betroffen ist weiterhin als numerisch vernachlaumlssigbar gegenuumlber dem Ausfallverhalten aktiver Komponenten angenommen werden kann)

14

Als Ergebnis dieser Untersuchung bull kann der Teil der PSA-Modellierung identifiziert werden der von der sicherheitstechnischen Fragestel-

lung betroffen ist bull koumlnnen die Teile der PSA festgestellt werden die modifiziert werden sollten bull koumlnnen die Analysen identifiziert werden die zur ergaumlnzenden probabilistischen Bewertung der sicher-

heitstechnischen Fragestellung durchgefuumlhrt werden sollten

Auszligerdem koumlnnen anhand dieser Untersuchung der Umfang und die Tiefe der notwendigen Analysen ermit-telt werden Im Hinblick auf den Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifischen PSA die derzeit be-stimmte Bereiche nicht enthalten ist zunaumlchst qualitativ zu untersuchen (vgl Anhang 2) ob die sicherheits-technische Fragestellung diese nicht analysierten Bereiche beeinflusst Ist das der Fall sind danach abde-ckende auch qualitative Betrachtungen oder gegebenenfalls Sensitivitaumltsuntersuchungen durchzufuumlhren (vgl Anhang 4) wobei auch deterministische Zuverlaumlssigkeitsprinzipien wie die Bewertung von z B Redun-danz Diversitaumlt oder vorgesehenen Maszlignahmen fuumlr die nicht analysierten Bereiche herangezogen werden koumlnnen Wichtig ist dass auf diesen Aspekt eingegangen wird und nicht der moumlglicherweise unzutreffende Ruumlckschluss gezogen wird dass Auswirkungen sicherheitstechnischer Fragestellungen nicht risikorelevant seien weil sie in den anlagenspezifischen PSA derzeit nicht analysierte Bereiche beeinflussen Zur Bewertung der Auswirkungen der sicherheitstechnischen Fragestellung kann es notwendig sein den De-taillierungsgrad d h Modellierungstiefe und -umfang der anlagenspezifischen PSA zu vergroumlszligern oder zu ergaumlnzen (z B modulare Darstellung leittechnischer Systemfunktionen Beruumlcksichtigung passiver Kompo-nenten) Die Modifikationen koumlnnen entweder im PSA-Modell selbst erfolgen oder moumlgliche Auswirkungen koumlnnen durch Sensitivitaumltsanalysen eingegrenzt oder durch qualitative Betrachtungen bewertet werden Nachdem die moumlglichen Auswirkungen der sicherheitstechnischen Fragestellungen auf die PSA-Modellie-rung ermittelt worden sind sind gegebenenfalls die entsprechenden Modifikationen in der Modellierung der zugrundeliegenden PSA die als Ausgangsbasis herangezogen wird durchzufuumlhren und zu dokumentieren Fuumlr eine effiziente Abwicklung sollten Prozeduren unter Einbeziehung notwendiger Gesichtspunkte der Qua-litaumltssicherung Anwendung finden vgl z B Anhang 3

15

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS Ein Screening-Prozess sollte fuumlr die in Abschnitt 2 genannten Anwendungsgebiete durchgefuumlhrt werden

31 AumlNDERUNGSMAszligNAHMEN Fuumlr Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage nachfolgend kurz Aumlnde-rungsmaszlignahmen genannt sollte eine Einordnung in drei Kategorien vorgenommen werden die den zu er-wartenden Einfluss auf die PSA angeben Diese Kategorien sind in Tabelle 1 und Abbildung 1 definiert sie werden mit a b und c bezeichnet Von Aumlnderungsmaszlignahmen der Kategorie a wird kein Einfluss auf die PSA erwartet Kriterien nach denen eine Zuordnung zur Kategorie a vorgenommen werden kann sind bull Es werden Komponenten oder Teile davon gegen gleichwertige ausgetauscht In diesem Fall sind in der

PSA die gleichen Zuverlaumlssigkeitskenngroumlszligen zu verwenden wie bisher und das Ergebnis kann sich nicht aumlndern Dies gilt nicht wenn sich der Komponententyp aumlndert z B Ersetzung einer Klappe durch einen Schieber

bull Es handelt sich um eine Reparaturmaszlignahme bei der der Sollzustand wieder hergestellt wird bull Es handelt sich um eine Ersatzteilbeschaffung bull Es handelt sich um Brennelement-Antransport -Abtransport oder -Einlagerung bull Es handelt sich um eine Aumlnderung der Dokumentation Eine gegebenenfalls zugrunde liegende Anla-

genaumlnderung ist dagegen zu betrachten

Im Weiteren koumlnnen zur Unterstuumltzung und nachvollziehbaren Dokumentation der Zuordnung zu den Kate-gorien die 14 Fragen gemaumlszlig Anhang 1 herangezogen werden Von Aumlnderungsmaszlignahmen der Kategorie b wird zwar grundsaumltzlich ein Einfluss auf die PSA erwartet aller-dings kein nennenswerter Einfluss auf ihre Ergebnisse (weder direkt noch indirekt vgl Abschnitt 22) Hier-von betroffen sind auch die Bereiche die auszligerhalb des Umfangs der als Ausgangsbasis verfuumlgbaren anla-genspezifischen PSA liegen Eine eventuelle Aktualisierung der PSA als Konsequenz von Aumlnderungsmaszlig-nahmen der Kategorie b d h die Integration der durchgefuumlhrten Aumlnderungen in das PSA-Modell sollte tur-nusgemaumlszlig erfolgen (Zeitraum kuumlrzer als SUuml-Zyklus vgl Abschnitt 5)

16

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme

17

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung

Kategorie Einfluss auf die PSA er-wartet

Nennenswer-ter Einfluss auf die Ergeb-nisse der PSA

Probabilistische Bewertung bei Abwicklung der Aumlnderung

Modellierung Aktualisierung PSA

Anmerkungen

a nein nein nein nein

b ja nein weder direkt noch indirekt

nein zu gegebener Zeit In-tegration der Erkennt-nisse aus der Aumlnde-rungsmaszlignahme in die PSA-Modellierung

gegebenenfalls spaumltere bzw zusammenfas-sende Bewertung der Aumlnderungsmaszlig-nahme u U Vorschlaumlge fuumlr Modifikationen im PSA-Modell (vergleichbar betriebsbeglei-tender Pruumlfung)

c ja ja direkt oder indi-rekt

ja in Ergaumlnzung zur deterministischen Bewertung

zeitgleiche zeitnahe Modellierung Aktuali-sierung der PSA-Model-lierung

unmittelbare Ruumlckkopplung zur Aumlnderungs-maszlignahme Voraussetzung konkrete Infor-mationen liegen vor (gegebenenfalls Ergaumln-zung bezuumlglich bisherigem Stand)

18

Eine nachtraumlgliche zusammenfassende probabilistische Bewertung mehrerer realisierter Aumlnderungsmaszlignah-men kann ergaumlnzend durchgefuumlhrt werden Fuumlr realisierte Aumlnderungsmaszlignahmen der Kategorie b wuumlrden sich dadurch u U ndash vergleichbar einer betriebsbegleitenden Pruumlfung und Kontrolle in anderen Bereichen oder der bisherigen Sicherheitsuumlberpruumlfung ndash Vorschlaumlge fuumlr Modifikationen im PSA-Modell ergeben Aumlnderungsmaszlignahmen bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist (Kategorie c) sollen einer probabilistischen Bewertung unterzogen werden Bei diesen Aumlnderungsmaszlignah-men empfiehlt sich eine zeitnahe Aktualisierung der PSA Unter Umstaumlnden ergibt sich fuumlr die probabilisti-sche Bewertung die Veranlassung von Parameter- bzw Sensitivitaumltsstudien wie es z B fuumlr probabilistische Bewertungen vor Genehmigung und Errichtung einer Anlage international uumlblich ist

32 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Fuumlr die zu treffende Entscheidung ob bei konkreten ereignis- bzw anlassbezogenen Fragestellungen proba-bilistische Untersuchungen durchzufuumlhren sind kann in Anlehnung an die beschriebene Vorgehensweise fuumlr die Kategorisierung von Aumlnderungsmaszlignahmen vorgegangen werden Die entsprechenden Kategorien fuumlr ereignis- bzw anlassbezogene Fragestellungen werden im Folgenden mit α β und γ bezeichnet Zur Unter-stuumltzung und nachvollziehbaren Dokumentation koumlnnen ebenfalls die 14 Fragen gemaumlszlig Anhang 1 herange-zogen werden d h es wird uumlberlegt und abgefragt ob z B ein aufgetretenes meldepflichtiges Ereignis Auswirkungen auf das bisherige Spektrum ausloumlsender Ereignisse auf die zugrunde gelegten Wirksamkeits-bedingungen auf die angenommenen Ereignisablaufsequenzen usw haben kann Probabilistische Untersu-chungen derartiger ereignis- bzw anlassbezogener Fragestellungen zielen ebenfalls auf die sicherheitstech-nische Bewertung der Auswirkungen auf das Sicherheitsniveau ab d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strate-gien) Insofern ist die Kategorie α vergleichbar der Kategorie a im Falle von Aumlnderungsmaszlignahmen d h es wird kein Einfluss auf die PSA der Anlage erwartet Wenn von einer ereignis- bzw anlassbezogenen Fragestellung keine nennenswerte Auswirkung auf die je-weils vorliegende PSA erwartet wird faumlllt diese in die Kategorie β Eine eventuelle Aktualisierung der PSA entfaumlllt aufgrund der zeitlichen Beschraumlnkung des Ereignisses bzw des Anlasses vgl auch Abschnitt 52 Fuumlr die Faumllle bei denen fuumlr eine ereignis- bzw anlassbezogene Fragestellung eine nennenswerte Auswir-kung auf die Ergebnisse der vorliegende PSA zu erwarten ist soll in Ergaumlnzung der deterministischen Be-wertung auch eine probabilistische Bewertung durchgefuumlhrt werden Hierbei ist zu beachten dass spezifi-sche Randbedingungen von denen der vorliegenden PSA abweichen koumlnnen Beispiele fuumlr diese Randbe-dingungen sind unter anderem (vgl ENSI 15) bull Die Dauer der Nichtverfuumlgbarkeit einer Komponente bull die der ereignis- bzw anlassbezogenen Fragestellung zugeordnete Anlagenkonfiguration wie zum Bei-

spiel keine weitere Nichtverfuumlgbarkeit aufgrund vorgezogener Instandhaltung oder kompensatorischer Maszlignahmen

bull die aktuell vorliegenden Systemschaltungen die zB eine veraumlnderte Verfuumlgbarkeit eines Systems be-deuten

bull die eventuelle Uumlbertragbarkeit des Anlasses auf weitere Komponenten zB Neubewertung der Verfuumlg-barkeit

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN Die Methoden Vorgehensweisen und Randbedingungen zur Erstellung probabilistischer Analysen im Rah-men der SUuml sind in dem PSA-Leitfaden BA 05 bzw in den zugehoumlrigen Methoden- und Datenbaumlnden METH 05 DAT 05 festgelegt (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) und im Grundsatz auch fuumlr die sicherheitstechnische Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen soweit moumlg-lich und sinnvoll anzuwenden Um die sicherheitstechnisch relevanten Fragestellungen beantworten zu koumln-nen ist es jedoch moumlglicherweise erforderlich detaillierter und realistischer zu modellieren Generell sind die probabilistischen Untersuchungen nur dort anzuwenden wo der Stand der Methodik und die verfuumlgbaren Daten dies erlauben Bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen sind Vorgehen Umfang und Detaillierungsgrad fallbezogen anzupassen Ein solcher gestaffelter Bewertungsansatz wird auch in IAEA GSR Part 4 Kap 3 IAEA 16 beschrieben

19

Im Falle einer detaillierten probabilistischen Bewertung ist eine wesentliche Randbedingung dass die fuumlr probabilistische Untersuchungen verwendeten Modellierungen und Zuverlaumlssigkeitskenngroumlszligen dem aktuel-len Anlagenzustand entsprechen Konkrete Beispiele zur Durchfuumlhrung solcher probabilistischer Untersuchungen sind in Anhang 5 aufgefuumlhrt Moumlgliche Auswirkungen (direkte und indirekte) der zu untersuchenden Fragestellung auf die Modellierung der probabilistischen Untersuchungen sind festzustellen und nachvollziehbar zu dokumentieren Sind von der zu untersuchenden Fragestellung zusaumltzlich nicht analysierte Bereiche bezuumlglich der vorliegenden pro-babilistischen Untersuchungen betroffen ist in geeigneter Weise auf diesen Aspekt einzugehen (vgl auch Abschnitt 32) Fuumlr alle Zustaumlnde (z B vor und nach einer Aumlnderung oder mehrere geplante Strategien) sind abhaumlngig von der zu untersuchenden Fragestellung nachvollziehbare quantitative und qualitative Daten und Informationen bereitzustellen Abhaumlngig von den relevanten Analysesachverhalten betrifft dies z B folgende Daten bzw Informationen bull Zuverlaumlssigkeitskenngroumlszligen bull Nichtverfuumlgbarkeiten und Unsicherheiten von Basisereignissen Fehlerbaumlumen Systemfunktionen Si-

cherheitsfunktionen bull Eintrittshaumlufigkeiten von Ereignisablaufsequenzen ausloumlsenden Ereignissen oder Endzustaumlnden bull Gesamtergebnis (z B Haumlufigkeit von Brennstabschadenszustaumlnden) und bull Importanz und Sensitivitaumlt von Zuverlaumlssigkeitskenngroumlszligen Basisereignissen und -gruppen sowie bull Modellierung des Ausfallverhaltens bull Beruumlcksichtigung und Modellierung von gemeinsam verursachten Ausfaumlllen bull Beruumlcksichtigung und Modellierung von Personalhandlungen bull Beruumlcksichtigung und Bewertung von Unsicherheiten bull Zusammensetzung von Minimalschnitten bull Bewertung von Ereignisablaufsequenzen hinsichtlich ihrer Endzustaumlnde sowie der Uumlbergaumlnge aus rele-

vanten Zwischenzustaumlnden

Ein grundlegender Unterschied bei der sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen im Vergleich zu ereignis- bzw anlassbezogenen Fragestellungen besteht darin dass sich erstere im Allgemei-nen auf eine Aumlnderung des Zustands der Anlage beziehen der andauert und sich auf das ganze Jahr be-zieht waumlhrend letztere sich auf temporaumlre Aumlnderungen beziehen Auch ist bei der sicherheitstechnischen Bewertung ereignis- bzw anlassbezogener Fragestellungen im Allgemeinen der zugrunde zu legende Zeit-raum eingrenzbar Bei probabilistischen Untersuchungen von ereignis- bzw anlassbezogenen Fragestellungen ist weiter zu dif-ferenzieren zwischen aufgetretenen Ereignissen und der Bewertung von Strategien bei mehreren zulaumlssigen Varianten Deshalb sind insbesondere bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen fuumlr ereignis- bzw anlassbezogenen Fragestellungen zeitabhaumlngige Analysen durchzufuumlhren welche die temporaumlren Aumln-derungen in den jeweiligen Zeitraumlumen zutreffend in den Modellierungen beruumlcksichtigen

5 VORGEHEN BEI DER BEWERTUNG Die probabilistische Bewertung der zu untersuchenden Fragestellung ist fallbezogen unter Beruumlcksichtigung der Unsicherheiten fuumlr die verschiedenen Ebenen der Modellierung der probabilistischen Untersuchungen durchzufuumlhren z B fuumlr Zuverlaumlssigkeitskenngroumlszligen Basisereignisse Fehlerbaumlume Systemfunktionen Si-cherheitsfunktionen Ereignisablaufsequenzen ausloumlsende Ereignisse und das Gesamtergebnis vgl auch Abschnitt 4 Daruumlber hinaus liefern die qualitativen Ergebnisse der anlagenspezifischen PSA ergaumlnzende Informationen und systematische Erkenntnisse Dafuumlr koumlnnen die Minimalschnitte der einzelnen Ereignisablaufsequenzen im Hinblick auf ihre Zusammensetzung ihre Beitraumlge sowie ihre jeweiligen Unsicherheiten analysiert wer-den Bei der Analyse und Bewertung der Minimalschnitte sollten administrative Regelungen oder Personal-handlungen besonders beachtet werden insbesondere solche die gewisse Schwaumlchen in der Anlagenaus-legung kompensieren sollen

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 3: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

Methoden und Beispiele fuumlr die probabilistische Bewertung sichershyheitsrelevanter Fragestellungen auszligerhalb der SUuml

Schr i f ten

Facharbeitskreis Probabilistische Sicherheitsanalyse

3

ZUSAMMENFASSUNG

Fuumlr die deutschen Kernkraftwerke sind in der Vergangenheit umfassende probabilistische Sicherheitsanaly-sen (PSA) im Rahmen der Sicherheitsuumlberpruumlfung (SUuml) nach sect 19a AtG durchgefuumlhrt worden Dieser Bericht beschreibt einen methodischen Rahmen und gibt Beispiele zur fallweisen Durchfuumlhrung probabilistischer Be-wertungen auszligerhalb der SUuml zur Klaumlrung spezifischer Fragestellungen Diese betreffen zB Aumlnderungen an der Anlage oder ihrer Betriebsweise oder die Bewertung von im Betrieb aufgetretenen sicherheitsrelevanten Ereignissen oder Phaumlnomenen Es wird eine Methodik beschrieben mit der der Einfluss einer gegebenen Fragestellung auf die Ergebnisse der PSA anhand eines Screening-Prozesses ermittelt und die betroffenen Bereiche der PSA identifiziert werden koumlnnen Betrachtet werden sowohl zeitunabhaumlngige Analysen zB fuumlr Aumlnderungsmaszlignahmen als auch zeitabhaumlngige Analysen die uumlblicherweise einen begrenzten Zeitraum be-treffen Die Vorgeschlagene Methodik wird an insgesamt fuumlnf Beispielen aus der Praxis demonstriert

ABSTRACT

In the past comprehensive probabilistic safety analyses (PSA) have been performed for German nuclear power plants as part of the periodic safety review according to sect 19a AtG This report describes a methodo-logical framework and provides examples for using probabilistic considerations on a case by case basis beyond the scope of the periodic safety review in order to address specific issues Predominantly these issues are related to plant changes or changes in its operation or the assessment of safety relevant events that have occurred during operation A methodology is described for determining the impact of a given issue on the PSA results by means of a screening process which also allows identifying the affected areas of the PSA Both time independent considerations eg for plant changes as well as time-dependent considerati-ons which usually concern temporary measures are addressed The proposed methodology is demonst-rated by a total of five examples from the field

4

5

INHALTSVERZEICHNIS

ZUSAMMENFASSUNG 3

ABSTRACT 3

INHALTSVERZEICHNIS 5

ABBILDUNGSVERZEICHNIS 7

TABELLENVERZEICHNIS 7

ABKUumlRZUNGSVERZEICHNIS 8

VORWORT 11

1 ZIELSETZUNGEN PROBABILISTISCHER BEWERTUNGEN AUSSERHALB DER SUuml 13

2 ANWENDUNGSGEBIETE 13

21 Allgemeines 13

22 Vorgehensweise 13

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS 15

31 Aumlnderungsmaszlignahmen 15

32 Ereignis- bzw anlassbezogene Fragestellungen 18

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN 18

5 VORGEHEN BEI DER BEWERTUNG 19

51 Aumlnderungsmaszlignahmen 20

52 Ereignis- bzw anlassbezogene Fragestellungen 20

LITERATURVERZEICHNIS 22

ANHAumlNGE 24

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGESTELLUNG 25

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DIE PSA-MODELLIERUNG 26

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY) 35

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE 38

6

ANHANG 5 KONKRETE BEISPIELE 39

A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung) 39

A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung) 41

A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung) 44

A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung) 47

A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung) 50

LITERATURVERZEICHNIS 54

BEGRIFFE 55

7

ABBILDUNGSVERZEICHNIS

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme 16

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit 43

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung) 49

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung) 49

TABELLENVERZEICHNIS

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung 17

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung) 40

8

ABKUumlRZUNGSVERZEICHNIS

A

AtG Atomgesetz

B

BE Brennelement Basisereignis BHB Betriebshandbuch BMUB Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit

D

DAF sekundaumlrseitiger Druckabfall (Reaktorschutzsignal) DH Druckhalter

E

EDW Explosionsdruckwelle

F

FAK PSA Facharbeitskreis probabilistische Sicherheitsanalyse FD Frischdampf FLAB Flugzeugabsturz

G

GVA Gemeinsam verursachter Ausfall

H

HGZ Haumlufigkeit von Gefaumlhrdungszustaumlnden

I

IAEA International Atomic Energy Agency

K

KKW Kernkraftwerk

M

ME Meldepflichtiges Ereignis

N

NLB Nichtleistungsbetrieb NHB Notfallhandbuch

P

PKL Primaumlrkreislauf PSA Probabilistische Sicherheitsanalyse PSF Performance Shaping Factor PSUuml Periodische Sicherheitsuumlberpruumlfung vgl SUuml

R

RESA Reaktorschnellabschaltung RSK Reaktorsicherheitskommission RSP Risk Spectrum (Software)

9

S

sbR schriftliche betriebliche Regelung SUuml Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a AtG SWR Siedewasserreaktor

T

TUSA Turbinenschnellabschaltung

W

WKP Wiederkehrende Pruumlfung

10

11

VORWORT

Fuumlr die deutschen Kernkraftwerke sind in der Vergangenheit probabilistische Sicherheitsanalysen im Rah-men der Sicherheitsuumlberpruumlfung (SUuml) nach sect 19a AtG auf der Basis des Leitfadens Probabilistische Sicher-heitsanalyse BA 05 durchgefuumlhrt worden Die im November 2012 verabschiedeten Sicherheitsanforderungen an Kernkraftwerke BA 15 fordern in 5 (5b) bdquoIn Ergaumlnzung der deterministischen Nachweisfuumlhrungen muumlssen probabilistische Sicherheitsanalysen zu-dem durchgefuumlhrt werden um die sicherheitstechnische Relevanz bull von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie bull von Erkenntnissen die aus aufgetretenen sicherheitsrelevanten Ereignissen oder Phaumlnomenen bekannt

geworden sind und deren Uumlbertragbarkeit auf die im Anwendungsbereich der bdquoSicherheitsanforderungen an KKWldquo benannten Kernkraftwerke in Deutschland gegeben ist

bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist zu bewertenldquo

Hierdurch gibt es im deutschen kerntechnischen Regelwerk die Anforderung sicherheitstechnische Frage-stellungen auszligerhalb der SUuml probabilistisch zu bewerten Daher wurde der FAK PSA vom BMUB beauftragt einen sich aus diesen Anforderungen ergebenden methodischen Ergaumlnzungsbedarf zu identifizieren und entsprechende methodische Hilfestellungen zu erarbeiten Mit dieser Anwendungsunterlage legt der FAK PSA seine Beratungsergebnisse vor Hierin wird ein grund-saumltzlicher methodischer Rahmen zur Einbeziehung probabilistischer Methoden bei der Bewertung sicher-heitstechnisch relevanter Fragestellungen auszligerhalb der SUuml vorgeschlagen Es werden keine Aussagen uumlber aufsichtliche Aspekte bezuumlglich der Erfuumlllung der oben genannten Anforderungen in atomrechtlichen Verfahren gemacht Eine Reihe von konkreten Beispielen aus der Praxis dokumentiert daruumlber hinaus einen Teil der in Deutsch-land auf diesem Gebiet bereits gemachten Erfahrungen und illustriert das vorgeschlagene Vorgehen

12

13

1 ZIELSETZUNGEN PROBABILISTISCHER BEWERTUNGEN AUSSERHALB DER SUuml Probabilistische Untersuchungen zur gesamtheitlichen Bewertung konkreter sicherheitstechnischer Frage-stellungen auszligerhalb der SUuml koumlnnen durchgefuumlhrt werden um ergaumlnzend zur deterministischen Nachweis-fuumlhrung zusaumltzliche Erkenntnisse mit diesem im Vergleich zu einer deterministischen Vorgehensweise me-thodisch anderen Ansatz zu gewinnen Damit koumlnnen gegebenenfalls zusaumltzliche sicherheitsrelevante Er-kenntnisse zur Unterstuumltzung von Entscheidungsprozessen identifiziert und bewertet werden

2 ANWENDUNGSGEBIETE 21 ALLGEMEINES Uumlber die Nutzung probabilistischer Untersuchungen in den wiederkehrenden SUuml hinaus koumlnnen probabilisti-sche Untersuchungen in folgenden Anwendungsgebieten zum Einsatz kommen bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Mit einer probabilistischen Bewertung kann ihre sicherheitstechnische Relevanz gezeigt werden d h welche Auswirkung die jeweilige Aumlnderung auf das Sicherheitsniveau einer Anlage hat

bull Ereignisse oder Anlaumlsse aus dem Betrieb der Anlage d h Erkenntnisse die aus aufgetretenen sicher-heitsrelevanten Ereignissen oder Phaumlnomenen bekannt geworden sind Diese koumlnnen sich z B auf Mel-depflichtige Ereignisse (ME) Stoumlrungen betriebliche Ausfaumllle Instandsetzungszeiten festzulegende Strategien bei mehreren zulaumlssigen Varianten oder temporaumlre Modifikationen von Hardware-Konfigurati-onen beziehen Die Anwendung probabilistischer Methoden bei derartigen ereignis- bzw anlassbezogenen Fragestellun-gen zielt ebenfalls auf die sicherheitstechnische Bewertung der Auswirkungen auf das Sicherheitsni-veau d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung ab (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strategien)

Die unterschiedlichen Anwendungsgebiete sind in den Abschnitten 22 und 3 charakterisiert

22 VORGEHENSWEISE Es soll die Frage beantwortet werden ob bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage oder bull zu bewertende ereignis- bzw anlassbezogene Fragestellungen einen nennenswerten Einfluss auf die Ergebnisse der PSA erwarten lassen Dies erfordert nicht immer die Durchfuumlhrung von umfangreichen probabilistischen Bewertungen Daher wird hierfuumlr ein gestaffeltes Verfah-ren vorgeschlagen (vgl Screening-Prozess in Abschnitt 3) um nachvollziehbar einordnen und festlegen zu koumlnnen ob derartige ergaumlnzende probabilistische Bewertungen durchzufuumlhren sind Ein zu erwartender Einfluss kann dahingehend bewertet werden in welchem Umfang er eine Veraumlnderung des probabilistischen Ergebnisses zur Folge hat und wie sich diese Aumlnderung gegenuumlber Orientierungswer-ten (vgl Angaben in der RSK-Stellungnahme aus der 460 Sitzung bdquoRSK-Verstaumlndnis der Sicherheitsphiloso-phie RSK 13) darstellt Was ein bdquonennenswerter Einflussldquo ist sollte im Einzelfall begruumlndet werden In einem ersten Schritt ist es oft ausreichend mit Hilfe eines Fragebogens (wie z B in Anhang 1) und ver-einfachten Methoden Bewertungen vorzunehmen Im Rahmen der Anwendung probabilistischer Methoden kann gegebenenfalls in einem zweiten Schritt zur Feststellung der moumlglichen Auswirkungen der betrachteten sicherheitstechnischen Fragestellung auf die PSA-Modellierung eine detaillierte Fragenliste (vgl Anhang 2) als systematisches Hilfsmittel herangezogen werden Dabei ist zu beachten dass die Auswirkungen z T direkt analysiert werden koumlnnen z T jedoch nur indirekt feststell- und bewertbar sind (z B ob das Ausfallverhalten einer passiven Komponente die von der sicherheitstechnischen Fragestellung betroffen ist weiterhin als numerisch vernachlaumlssigbar gegenuumlber dem Ausfallverhalten aktiver Komponenten angenommen werden kann)

14

Als Ergebnis dieser Untersuchung bull kann der Teil der PSA-Modellierung identifiziert werden der von der sicherheitstechnischen Fragestel-

lung betroffen ist bull koumlnnen die Teile der PSA festgestellt werden die modifiziert werden sollten bull koumlnnen die Analysen identifiziert werden die zur ergaumlnzenden probabilistischen Bewertung der sicher-

heitstechnischen Fragestellung durchgefuumlhrt werden sollten

Auszligerdem koumlnnen anhand dieser Untersuchung der Umfang und die Tiefe der notwendigen Analysen ermit-telt werden Im Hinblick auf den Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifischen PSA die derzeit be-stimmte Bereiche nicht enthalten ist zunaumlchst qualitativ zu untersuchen (vgl Anhang 2) ob die sicherheits-technische Fragestellung diese nicht analysierten Bereiche beeinflusst Ist das der Fall sind danach abde-ckende auch qualitative Betrachtungen oder gegebenenfalls Sensitivitaumltsuntersuchungen durchzufuumlhren (vgl Anhang 4) wobei auch deterministische Zuverlaumlssigkeitsprinzipien wie die Bewertung von z B Redun-danz Diversitaumlt oder vorgesehenen Maszlignahmen fuumlr die nicht analysierten Bereiche herangezogen werden koumlnnen Wichtig ist dass auf diesen Aspekt eingegangen wird und nicht der moumlglicherweise unzutreffende Ruumlckschluss gezogen wird dass Auswirkungen sicherheitstechnischer Fragestellungen nicht risikorelevant seien weil sie in den anlagenspezifischen PSA derzeit nicht analysierte Bereiche beeinflussen Zur Bewertung der Auswirkungen der sicherheitstechnischen Fragestellung kann es notwendig sein den De-taillierungsgrad d h Modellierungstiefe und -umfang der anlagenspezifischen PSA zu vergroumlszligern oder zu ergaumlnzen (z B modulare Darstellung leittechnischer Systemfunktionen Beruumlcksichtigung passiver Kompo-nenten) Die Modifikationen koumlnnen entweder im PSA-Modell selbst erfolgen oder moumlgliche Auswirkungen koumlnnen durch Sensitivitaumltsanalysen eingegrenzt oder durch qualitative Betrachtungen bewertet werden Nachdem die moumlglichen Auswirkungen der sicherheitstechnischen Fragestellungen auf die PSA-Modellie-rung ermittelt worden sind sind gegebenenfalls die entsprechenden Modifikationen in der Modellierung der zugrundeliegenden PSA die als Ausgangsbasis herangezogen wird durchzufuumlhren und zu dokumentieren Fuumlr eine effiziente Abwicklung sollten Prozeduren unter Einbeziehung notwendiger Gesichtspunkte der Qua-litaumltssicherung Anwendung finden vgl z B Anhang 3

15

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS Ein Screening-Prozess sollte fuumlr die in Abschnitt 2 genannten Anwendungsgebiete durchgefuumlhrt werden

31 AumlNDERUNGSMAszligNAHMEN Fuumlr Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage nachfolgend kurz Aumlnde-rungsmaszlignahmen genannt sollte eine Einordnung in drei Kategorien vorgenommen werden die den zu er-wartenden Einfluss auf die PSA angeben Diese Kategorien sind in Tabelle 1 und Abbildung 1 definiert sie werden mit a b und c bezeichnet Von Aumlnderungsmaszlignahmen der Kategorie a wird kein Einfluss auf die PSA erwartet Kriterien nach denen eine Zuordnung zur Kategorie a vorgenommen werden kann sind bull Es werden Komponenten oder Teile davon gegen gleichwertige ausgetauscht In diesem Fall sind in der

PSA die gleichen Zuverlaumlssigkeitskenngroumlszligen zu verwenden wie bisher und das Ergebnis kann sich nicht aumlndern Dies gilt nicht wenn sich der Komponententyp aumlndert z B Ersetzung einer Klappe durch einen Schieber

bull Es handelt sich um eine Reparaturmaszlignahme bei der der Sollzustand wieder hergestellt wird bull Es handelt sich um eine Ersatzteilbeschaffung bull Es handelt sich um Brennelement-Antransport -Abtransport oder -Einlagerung bull Es handelt sich um eine Aumlnderung der Dokumentation Eine gegebenenfalls zugrunde liegende Anla-

genaumlnderung ist dagegen zu betrachten

Im Weiteren koumlnnen zur Unterstuumltzung und nachvollziehbaren Dokumentation der Zuordnung zu den Kate-gorien die 14 Fragen gemaumlszlig Anhang 1 herangezogen werden Von Aumlnderungsmaszlignahmen der Kategorie b wird zwar grundsaumltzlich ein Einfluss auf die PSA erwartet aller-dings kein nennenswerter Einfluss auf ihre Ergebnisse (weder direkt noch indirekt vgl Abschnitt 22) Hier-von betroffen sind auch die Bereiche die auszligerhalb des Umfangs der als Ausgangsbasis verfuumlgbaren anla-genspezifischen PSA liegen Eine eventuelle Aktualisierung der PSA als Konsequenz von Aumlnderungsmaszlig-nahmen der Kategorie b d h die Integration der durchgefuumlhrten Aumlnderungen in das PSA-Modell sollte tur-nusgemaumlszlig erfolgen (Zeitraum kuumlrzer als SUuml-Zyklus vgl Abschnitt 5)

16

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme

17

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung

Kategorie Einfluss auf die PSA er-wartet

Nennenswer-ter Einfluss auf die Ergeb-nisse der PSA

Probabilistische Bewertung bei Abwicklung der Aumlnderung

Modellierung Aktualisierung PSA

Anmerkungen

a nein nein nein nein

b ja nein weder direkt noch indirekt

nein zu gegebener Zeit In-tegration der Erkennt-nisse aus der Aumlnde-rungsmaszlignahme in die PSA-Modellierung

gegebenenfalls spaumltere bzw zusammenfas-sende Bewertung der Aumlnderungsmaszlig-nahme u U Vorschlaumlge fuumlr Modifikationen im PSA-Modell (vergleichbar betriebsbeglei-tender Pruumlfung)

c ja ja direkt oder indi-rekt

ja in Ergaumlnzung zur deterministischen Bewertung

zeitgleiche zeitnahe Modellierung Aktuali-sierung der PSA-Model-lierung

unmittelbare Ruumlckkopplung zur Aumlnderungs-maszlignahme Voraussetzung konkrete Infor-mationen liegen vor (gegebenenfalls Ergaumln-zung bezuumlglich bisherigem Stand)

18

Eine nachtraumlgliche zusammenfassende probabilistische Bewertung mehrerer realisierter Aumlnderungsmaszlignah-men kann ergaumlnzend durchgefuumlhrt werden Fuumlr realisierte Aumlnderungsmaszlignahmen der Kategorie b wuumlrden sich dadurch u U ndash vergleichbar einer betriebsbegleitenden Pruumlfung und Kontrolle in anderen Bereichen oder der bisherigen Sicherheitsuumlberpruumlfung ndash Vorschlaumlge fuumlr Modifikationen im PSA-Modell ergeben Aumlnderungsmaszlignahmen bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist (Kategorie c) sollen einer probabilistischen Bewertung unterzogen werden Bei diesen Aumlnderungsmaszlignah-men empfiehlt sich eine zeitnahe Aktualisierung der PSA Unter Umstaumlnden ergibt sich fuumlr die probabilisti-sche Bewertung die Veranlassung von Parameter- bzw Sensitivitaumltsstudien wie es z B fuumlr probabilistische Bewertungen vor Genehmigung und Errichtung einer Anlage international uumlblich ist

32 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Fuumlr die zu treffende Entscheidung ob bei konkreten ereignis- bzw anlassbezogenen Fragestellungen proba-bilistische Untersuchungen durchzufuumlhren sind kann in Anlehnung an die beschriebene Vorgehensweise fuumlr die Kategorisierung von Aumlnderungsmaszlignahmen vorgegangen werden Die entsprechenden Kategorien fuumlr ereignis- bzw anlassbezogene Fragestellungen werden im Folgenden mit α β und γ bezeichnet Zur Unter-stuumltzung und nachvollziehbaren Dokumentation koumlnnen ebenfalls die 14 Fragen gemaumlszlig Anhang 1 herange-zogen werden d h es wird uumlberlegt und abgefragt ob z B ein aufgetretenes meldepflichtiges Ereignis Auswirkungen auf das bisherige Spektrum ausloumlsender Ereignisse auf die zugrunde gelegten Wirksamkeits-bedingungen auf die angenommenen Ereignisablaufsequenzen usw haben kann Probabilistische Untersu-chungen derartiger ereignis- bzw anlassbezogener Fragestellungen zielen ebenfalls auf die sicherheitstech-nische Bewertung der Auswirkungen auf das Sicherheitsniveau ab d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strate-gien) Insofern ist die Kategorie α vergleichbar der Kategorie a im Falle von Aumlnderungsmaszlignahmen d h es wird kein Einfluss auf die PSA der Anlage erwartet Wenn von einer ereignis- bzw anlassbezogenen Fragestellung keine nennenswerte Auswirkung auf die je-weils vorliegende PSA erwartet wird faumlllt diese in die Kategorie β Eine eventuelle Aktualisierung der PSA entfaumlllt aufgrund der zeitlichen Beschraumlnkung des Ereignisses bzw des Anlasses vgl auch Abschnitt 52 Fuumlr die Faumllle bei denen fuumlr eine ereignis- bzw anlassbezogene Fragestellung eine nennenswerte Auswir-kung auf die Ergebnisse der vorliegende PSA zu erwarten ist soll in Ergaumlnzung der deterministischen Be-wertung auch eine probabilistische Bewertung durchgefuumlhrt werden Hierbei ist zu beachten dass spezifi-sche Randbedingungen von denen der vorliegenden PSA abweichen koumlnnen Beispiele fuumlr diese Randbe-dingungen sind unter anderem (vgl ENSI 15) bull Die Dauer der Nichtverfuumlgbarkeit einer Komponente bull die der ereignis- bzw anlassbezogenen Fragestellung zugeordnete Anlagenkonfiguration wie zum Bei-

spiel keine weitere Nichtverfuumlgbarkeit aufgrund vorgezogener Instandhaltung oder kompensatorischer Maszlignahmen

bull die aktuell vorliegenden Systemschaltungen die zB eine veraumlnderte Verfuumlgbarkeit eines Systems be-deuten

bull die eventuelle Uumlbertragbarkeit des Anlasses auf weitere Komponenten zB Neubewertung der Verfuumlg-barkeit

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN Die Methoden Vorgehensweisen und Randbedingungen zur Erstellung probabilistischer Analysen im Rah-men der SUuml sind in dem PSA-Leitfaden BA 05 bzw in den zugehoumlrigen Methoden- und Datenbaumlnden METH 05 DAT 05 festgelegt (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) und im Grundsatz auch fuumlr die sicherheitstechnische Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen soweit moumlg-lich und sinnvoll anzuwenden Um die sicherheitstechnisch relevanten Fragestellungen beantworten zu koumln-nen ist es jedoch moumlglicherweise erforderlich detaillierter und realistischer zu modellieren Generell sind die probabilistischen Untersuchungen nur dort anzuwenden wo der Stand der Methodik und die verfuumlgbaren Daten dies erlauben Bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen sind Vorgehen Umfang und Detaillierungsgrad fallbezogen anzupassen Ein solcher gestaffelter Bewertungsansatz wird auch in IAEA GSR Part 4 Kap 3 IAEA 16 beschrieben

19

Im Falle einer detaillierten probabilistischen Bewertung ist eine wesentliche Randbedingung dass die fuumlr probabilistische Untersuchungen verwendeten Modellierungen und Zuverlaumlssigkeitskenngroumlszligen dem aktuel-len Anlagenzustand entsprechen Konkrete Beispiele zur Durchfuumlhrung solcher probabilistischer Untersuchungen sind in Anhang 5 aufgefuumlhrt Moumlgliche Auswirkungen (direkte und indirekte) der zu untersuchenden Fragestellung auf die Modellierung der probabilistischen Untersuchungen sind festzustellen und nachvollziehbar zu dokumentieren Sind von der zu untersuchenden Fragestellung zusaumltzlich nicht analysierte Bereiche bezuumlglich der vorliegenden pro-babilistischen Untersuchungen betroffen ist in geeigneter Weise auf diesen Aspekt einzugehen (vgl auch Abschnitt 32) Fuumlr alle Zustaumlnde (z B vor und nach einer Aumlnderung oder mehrere geplante Strategien) sind abhaumlngig von der zu untersuchenden Fragestellung nachvollziehbare quantitative und qualitative Daten und Informationen bereitzustellen Abhaumlngig von den relevanten Analysesachverhalten betrifft dies z B folgende Daten bzw Informationen bull Zuverlaumlssigkeitskenngroumlszligen bull Nichtverfuumlgbarkeiten und Unsicherheiten von Basisereignissen Fehlerbaumlumen Systemfunktionen Si-

cherheitsfunktionen bull Eintrittshaumlufigkeiten von Ereignisablaufsequenzen ausloumlsenden Ereignissen oder Endzustaumlnden bull Gesamtergebnis (z B Haumlufigkeit von Brennstabschadenszustaumlnden) und bull Importanz und Sensitivitaumlt von Zuverlaumlssigkeitskenngroumlszligen Basisereignissen und -gruppen sowie bull Modellierung des Ausfallverhaltens bull Beruumlcksichtigung und Modellierung von gemeinsam verursachten Ausfaumlllen bull Beruumlcksichtigung und Modellierung von Personalhandlungen bull Beruumlcksichtigung und Bewertung von Unsicherheiten bull Zusammensetzung von Minimalschnitten bull Bewertung von Ereignisablaufsequenzen hinsichtlich ihrer Endzustaumlnde sowie der Uumlbergaumlnge aus rele-

vanten Zwischenzustaumlnden

Ein grundlegender Unterschied bei der sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen im Vergleich zu ereignis- bzw anlassbezogenen Fragestellungen besteht darin dass sich erstere im Allgemei-nen auf eine Aumlnderung des Zustands der Anlage beziehen der andauert und sich auf das ganze Jahr be-zieht waumlhrend letztere sich auf temporaumlre Aumlnderungen beziehen Auch ist bei der sicherheitstechnischen Bewertung ereignis- bzw anlassbezogener Fragestellungen im Allgemeinen der zugrunde zu legende Zeit-raum eingrenzbar Bei probabilistischen Untersuchungen von ereignis- bzw anlassbezogenen Fragestellungen ist weiter zu dif-ferenzieren zwischen aufgetretenen Ereignissen und der Bewertung von Strategien bei mehreren zulaumlssigen Varianten Deshalb sind insbesondere bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen fuumlr ereignis- bzw anlassbezogenen Fragestellungen zeitabhaumlngige Analysen durchzufuumlhren welche die temporaumlren Aumln-derungen in den jeweiligen Zeitraumlumen zutreffend in den Modellierungen beruumlcksichtigen

5 VORGEHEN BEI DER BEWERTUNG Die probabilistische Bewertung der zu untersuchenden Fragestellung ist fallbezogen unter Beruumlcksichtigung der Unsicherheiten fuumlr die verschiedenen Ebenen der Modellierung der probabilistischen Untersuchungen durchzufuumlhren z B fuumlr Zuverlaumlssigkeitskenngroumlszligen Basisereignisse Fehlerbaumlume Systemfunktionen Si-cherheitsfunktionen Ereignisablaufsequenzen ausloumlsende Ereignisse und das Gesamtergebnis vgl auch Abschnitt 4 Daruumlber hinaus liefern die qualitativen Ergebnisse der anlagenspezifischen PSA ergaumlnzende Informationen und systematische Erkenntnisse Dafuumlr koumlnnen die Minimalschnitte der einzelnen Ereignisablaufsequenzen im Hinblick auf ihre Zusammensetzung ihre Beitraumlge sowie ihre jeweiligen Unsicherheiten analysiert wer-den Bei der Analyse und Bewertung der Minimalschnitte sollten administrative Regelungen oder Personal-handlungen besonders beachtet werden insbesondere solche die gewisse Schwaumlchen in der Anlagenaus-legung kompensieren sollen

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 4: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

3

ZUSAMMENFASSUNG

Fuumlr die deutschen Kernkraftwerke sind in der Vergangenheit umfassende probabilistische Sicherheitsanaly-sen (PSA) im Rahmen der Sicherheitsuumlberpruumlfung (SUuml) nach sect 19a AtG durchgefuumlhrt worden Dieser Bericht beschreibt einen methodischen Rahmen und gibt Beispiele zur fallweisen Durchfuumlhrung probabilistischer Be-wertungen auszligerhalb der SUuml zur Klaumlrung spezifischer Fragestellungen Diese betreffen zB Aumlnderungen an der Anlage oder ihrer Betriebsweise oder die Bewertung von im Betrieb aufgetretenen sicherheitsrelevanten Ereignissen oder Phaumlnomenen Es wird eine Methodik beschrieben mit der der Einfluss einer gegebenen Fragestellung auf die Ergebnisse der PSA anhand eines Screening-Prozesses ermittelt und die betroffenen Bereiche der PSA identifiziert werden koumlnnen Betrachtet werden sowohl zeitunabhaumlngige Analysen zB fuumlr Aumlnderungsmaszlignahmen als auch zeitabhaumlngige Analysen die uumlblicherweise einen begrenzten Zeitraum be-treffen Die Vorgeschlagene Methodik wird an insgesamt fuumlnf Beispielen aus der Praxis demonstriert

ABSTRACT

In the past comprehensive probabilistic safety analyses (PSA) have been performed for German nuclear power plants as part of the periodic safety review according to sect 19a AtG This report describes a methodo-logical framework and provides examples for using probabilistic considerations on a case by case basis beyond the scope of the periodic safety review in order to address specific issues Predominantly these issues are related to plant changes or changes in its operation or the assessment of safety relevant events that have occurred during operation A methodology is described for determining the impact of a given issue on the PSA results by means of a screening process which also allows identifying the affected areas of the PSA Both time independent considerations eg for plant changes as well as time-dependent considerati-ons which usually concern temporary measures are addressed The proposed methodology is demonst-rated by a total of five examples from the field

4

5

INHALTSVERZEICHNIS

ZUSAMMENFASSUNG 3

ABSTRACT 3

INHALTSVERZEICHNIS 5

ABBILDUNGSVERZEICHNIS 7

TABELLENVERZEICHNIS 7

ABKUumlRZUNGSVERZEICHNIS 8

VORWORT 11

1 ZIELSETZUNGEN PROBABILISTISCHER BEWERTUNGEN AUSSERHALB DER SUuml 13

2 ANWENDUNGSGEBIETE 13

21 Allgemeines 13

22 Vorgehensweise 13

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS 15

31 Aumlnderungsmaszlignahmen 15

32 Ereignis- bzw anlassbezogene Fragestellungen 18

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN 18

5 VORGEHEN BEI DER BEWERTUNG 19

51 Aumlnderungsmaszlignahmen 20

52 Ereignis- bzw anlassbezogene Fragestellungen 20

LITERATURVERZEICHNIS 22

ANHAumlNGE 24

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGESTELLUNG 25

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DIE PSA-MODELLIERUNG 26

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY) 35

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE 38

6

ANHANG 5 KONKRETE BEISPIELE 39

A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung) 39

A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung) 41

A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung) 44

A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung) 47

A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung) 50

LITERATURVERZEICHNIS 54

BEGRIFFE 55

7

ABBILDUNGSVERZEICHNIS

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme 16

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit 43

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung) 49

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung) 49

TABELLENVERZEICHNIS

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung 17

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung) 40

8

ABKUumlRZUNGSVERZEICHNIS

A

AtG Atomgesetz

B

BE Brennelement Basisereignis BHB Betriebshandbuch BMUB Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit

D

DAF sekundaumlrseitiger Druckabfall (Reaktorschutzsignal) DH Druckhalter

E

EDW Explosionsdruckwelle

F

FAK PSA Facharbeitskreis probabilistische Sicherheitsanalyse FD Frischdampf FLAB Flugzeugabsturz

G

GVA Gemeinsam verursachter Ausfall

H

HGZ Haumlufigkeit von Gefaumlhrdungszustaumlnden

I

IAEA International Atomic Energy Agency

K

KKW Kernkraftwerk

M

ME Meldepflichtiges Ereignis

N

NLB Nichtleistungsbetrieb NHB Notfallhandbuch

P

PKL Primaumlrkreislauf PSA Probabilistische Sicherheitsanalyse PSF Performance Shaping Factor PSUuml Periodische Sicherheitsuumlberpruumlfung vgl SUuml

R

RESA Reaktorschnellabschaltung RSK Reaktorsicherheitskommission RSP Risk Spectrum (Software)

9

S

sbR schriftliche betriebliche Regelung SUuml Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a AtG SWR Siedewasserreaktor

T

TUSA Turbinenschnellabschaltung

W

WKP Wiederkehrende Pruumlfung

10

11

VORWORT

Fuumlr die deutschen Kernkraftwerke sind in der Vergangenheit probabilistische Sicherheitsanalysen im Rah-men der Sicherheitsuumlberpruumlfung (SUuml) nach sect 19a AtG auf der Basis des Leitfadens Probabilistische Sicher-heitsanalyse BA 05 durchgefuumlhrt worden Die im November 2012 verabschiedeten Sicherheitsanforderungen an Kernkraftwerke BA 15 fordern in 5 (5b) bdquoIn Ergaumlnzung der deterministischen Nachweisfuumlhrungen muumlssen probabilistische Sicherheitsanalysen zu-dem durchgefuumlhrt werden um die sicherheitstechnische Relevanz bull von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie bull von Erkenntnissen die aus aufgetretenen sicherheitsrelevanten Ereignissen oder Phaumlnomenen bekannt

geworden sind und deren Uumlbertragbarkeit auf die im Anwendungsbereich der bdquoSicherheitsanforderungen an KKWldquo benannten Kernkraftwerke in Deutschland gegeben ist

bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist zu bewertenldquo

Hierdurch gibt es im deutschen kerntechnischen Regelwerk die Anforderung sicherheitstechnische Frage-stellungen auszligerhalb der SUuml probabilistisch zu bewerten Daher wurde der FAK PSA vom BMUB beauftragt einen sich aus diesen Anforderungen ergebenden methodischen Ergaumlnzungsbedarf zu identifizieren und entsprechende methodische Hilfestellungen zu erarbeiten Mit dieser Anwendungsunterlage legt der FAK PSA seine Beratungsergebnisse vor Hierin wird ein grund-saumltzlicher methodischer Rahmen zur Einbeziehung probabilistischer Methoden bei der Bewertung sicher-heitstechnisch relevanter Fragestellungen auszligerhalb der SUuml vorgeschlagen Es werden keine Aussagen uumlber aufsichtliche Aspekte bezuumlglich der Erfuumlllung der oben genannten Anforderungen in atomrechtlichen Verfahren gemacht Eine Reihe von konkreten Beispielen aus der Praxis dokumentiert daruumlber hinaus einen Teil der in Deutsch-land auf diesem Gebiet bereits gemachten Erfahrungen und illustriert das vorgeschlagene Vorgehen

12

13

1 ZIELSETZUNGEN PROBABILISTISCHER BEWERTUNGEN AUSSERHALB DER SUuml Probabilistische Untersuchungen zur gesamtheitlichen Bewertung konkreter sicherheitstechnischer Frage-stellungen auszligerhalb der SUuml koumlnnen durchgefuumlhrt werden um ergaumlnzend zur deterministischen Nachweis-fuumlhrung zusaumltzliche Erkenntnisse mit diesem im Vergleich zu einer deterministischen Vorgehensweise me-thodisch anderen Ansatz zu gewinnen Damit koumlnnen gegebenenfalls zusaumltzliche sicherheitsrelevante Er-kenntnisse zur Unterstuumltzung von Entscheidungsprozessen identifiziert und bewertet werden

2 ANWENDUNGSGEBIETE 21 ALLGEMEINES Uumlber die Nutzung probabilistischer Untersuchungen in den wiederkehrenden SUuml hinaus koumlnnen probabilisti-sche Untersuchungen in folgenden Anwendungsgebieten zum Einsatz kommen bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Mit einer probabilistischen Bewertung kann ihre sicherheitstechnische Relevanz gezeigt werden d h welche Auswirkung die jeweilige Aumlnderung auf das Sicherheitsniveau einer Anlage hat

bull Ereignisse oder Anlaumlsse aus dem Betrieb der Anlage d h Erkenntnisse die aus aufgetretenen sicher-heitsrelevanten Ereignissen oder Phaumlnomenen bekannt geworden sind Diese koumlnnen sich z B auf Mel-depflichtige Ereignisse (ME) Stoumlrungen betriebliche Ausfaumllle Instandsetzungszeiten festzulegende Strategien bei mehreren zulaumlssigen Varianten oder temporaumlre Modifikationen von Hardware-Konfigurati-onen beziehen Die Anwendung probabilistischer Methoden bei derartigen ereignis- bzw anlassbezogenen Fragestellun-gen zielt ebenfalls auf die sicherheitstechnische Bewertung der Auswirkungen auf das Sicherheitsni-veau d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung ab (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strategien)

Die unterschiedlichen Anwendungsgebiete sind in den Abschnitten 22 und 3 charakterisiert

22 VORGEHENSWEISE Es soll die Frage beantwortet werden ob bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage oder bull zu bewertende ereignis- bzw anlassbezogene Fragestellungen einen nennenswerten Einfluss auf die Ergebnisse der PSA erwarten lassen Dies erfordert nicht immer die Durchfuumlhrung von umfangreichen probabilistischen Bewertungen Daher wird hierfuumlr ein gestaffeltes Verfah-ren vorgeschlagen (vgl Screening-Prozess in Abschnitt 3) um nachvollziehbar einordnen und festlegen zu koumlnnen ob derartige ergaumlnzende probabilistische Bewertungen durchzufuumlhren sind Ein zu erwartender Einfluss kann dahingehend bewertet werden in welchem Umfang er eine Veraumlnderung des probabilistischen Ergebnisses zur Folge hat und wie sich diese Aumlnderung gegenuumlber Orientierungswer-ten (vgl Angaben in der RSK-Stellungnahme aus der 460 Sitzung bdquoRSK-Verstaumlndnis der Sicherheitsphiloso-phie RSK 13) darstellt Was ein bdquonennenswerter Einflussldquo ist sollte im Einzelfall begruumlndet werden In einem ersten Schritt ist es oft ausreichend mit Hilfe eines Fragebogens (wie z B in Anhang 1) und ver-einfachten Methoden Bewertungen vorzunehmen Im Rahmen der Anwendung probabilistischer Methoden kann gegebenenfalls in einem zweiten Schritt zur Feststellung der moumlglichen Auswirkungen der betrachteten sicherheitstechnischen Fragestellung auf die PSA-Modellierung eine detaillierte Fragenliste (vgl Anhang 2) als systematisches Hilfsmittel herangezogen werden Dabei ist zu beachten dass die Auswirkungen z T direkt analysiert werden koumlnnen z T jedoch nur indirekt feststell- und bewertbar sind (z B ob das Ausfallverhalten einer passiven Komponente die von der sicherheitstechnischen Fragestellung betroffen ist weiterhin als numerisch vernachlaumlssigbar gegenuumlber dem Ausfallverhalten aktiver Komponenten angenommen werden kann)

14

Als Ergebnis dieser Untersuchung bull kann der Teil der PSA-Modellierung identifiziert werden der von der sicherheitstechnischen Fragestel-

lung betroffen ist bull koumlnnen die Teile der PSA festgestellt werden die modifiziert werden sollten bull koumlnnen die Analysen identifiziert werden die zur ergaumlnzenden probabilistischen Bewertung der sicher-

heitstechnischen Fragestellung durchgefuumlhrt werden sollten

Auszligerdem koumlnnen anhand dieser Untersuchung der Umfang und die Tiefe der notwendigen Analysen ermit-telt werden Im Hinblick auf den Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifischen PSA die derzeit be-stimmte Bereiche nicht enthalten ist zunaumlchst qualitativ zu untersuchen (vgl Anhang 2) ob die sicherheits-technische Fragestellung diese nicht analysierten Bereiche beeinflusst Ist das der Fall sind danach abde-ckende auch qualitative Betrachtungen oder gegebenenfalls Sensitivitaumltsuntersuchungen durchzufuumlhren (vgl Anhang 4) wobei auch deterministische Zuverlaumlssigkeitsprinzipien wie die Bewertung von z B Redun-danz Diversitaumlt oder vorgesehenen Maszlignahmen fuumlr die nicht analysierten Bereiche herangezogen werden koumlnnen Wichtig ist dass auf diesen Aspekt eingegangen wird und nicht der moumlglicherweise unzutreffende Ruumlckschluss gezogen wird dass Auswirkungen sicherheitstechnischer Fragestellungen nicht risikorelevant seien weil sie in den anlagenspezifischen PSA derzeit nicht analysierte Bereiche beeinflussen Zur Bewertung der Auswirkungen der sicherheitstechnischen Fragestellung kann es notwendig sein den De-taillierungsgrad d h Modellierungstiefe und -umfang der anlagenspezifischen PSA zu vergroumlszligern oder zu ergaumlnzen (z B modulare Darstellung leittechnischer Systemfunktionen Beruumlcksichtigung passiver Kompo-nenten) Die Modifikationen koumlnnen entweder im PSA-Modell selbst erfolgen oder moumlgliche Auswirkungen koumlnnen durch Sensitivitaumltsanalysen eingegrenzt oder durch qualitative Betrachtungen bewertet werden Nachdem die moumlglichen Auswirkungen der sicherheitstechnischen Fragestellungen auf die PSA-Modellie-rung ermittelt worden sind sind gegebenenfalls die entsprechenden Modifikationen in der Modellierung der zugrundeliegenden PSA die als Ausgangsbasis herangezogen wird durchzufuumlhren und zu dokumentieren Fuumlr eine effiziente Abwicklung sollten Prozeduren unter Einbeziehung notwendiger Gesichtspunkte der Qua-litaumltssicherung Anwendung finden vgl z B Anhang 3

15

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS Ein Screening-Prozess sollte fuumlr die in Abschnitt 2 genannten Anwendungsgebiete durchgefuumlhrt werden

31 AumlNDERUNGSMAszligNAHMEN Fuumlr Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage nachfolgend kurz Aumlnde-rungsmaszlignahmen genannt sollte eine Einordnung in drei Kategorien vorgenommen werden die den zu er-wartenden Einfluss auf die PSA angeben Diese Kategorien sind in Tabelle 1 und Abbildung 1 definiert sie werden mit a b und c bezeichnet Von Aumlnderungsmaszlignahmen der Kategorie a wird kein Einfluss auf die PSA erwartet Kriterien nach denen eine Zuordnung zur Kategorie a vorgenommen werden kann sind bull Es werden Komponenten oder Teile davon gegen gleichwertige ausgetauscht In diesem Fall sind in der

PSA die gleichen Zuverlaumlssigkeitskenngroumlszligen zu verwenden wie bisher und das Ergebnis kann sich nicht aumlndern Dies gilt nicht wenn sich der Komponententyp aumlndert z B Ersetzung einer Klappe durch einen Schieber

bull Es handelt sich um eine Reparaturmaszlignahme bei der der Sollzustand wieder hergestellt wird bull Es handelt sich um eine Ersatzteilbeschaffung bull Es handelt sich um Brennelement-Antransport -Abtransport oder -Einlagerung bull Es handelt sich um eine Aumlnderung der Dokumentation Eine gegebenenfalls zugrunde liegende Anla-

genaumlnderung ist dagegen zu betrachten

Im Weiteren koumlnnen zur Unterstuumltzung und nachvollziehbaren Dokumentation der Zuordnung zu den Kate-gorien die 14 Fragen gemaumlszlig Anhang 1 herangezogen werden Von Aumlnderungsmaszlignahmen der Kategorie b wird zwar grundsaumltzlich ein Einfluss auf die PSA erwartet aller-dings kein nennenswerter Einfluss auf ihre Ergebnisse (weder direkt noch indirekt vgl Abschnitt 22) Hier-von betroffen sind auch die Bereiche die auszligerhalb des Umfangs der als Ausgangsbasis verfuumlgbaren anla-genspezifischen PSA liegen Eine eventuelle Aktualisierung der PSA als Konsequenz von Aumlnderungsmaszlig-nahmen der Kategorie b d h die Integration der durchgefuumlhrten Aumlnderungen in das PSA-Modell sollte tur-nusgemaumlszlig erfolgen (Zeitraum kuumlrzer als SUuml-Zyklus vgl Abschnitt 5)

16

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme

17

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung

Kategorie Einfluss auf die PSA er-wartet

Nennenswer-ter Einfluss auf die Ergeb-nisse der PSA

Probabilistische Bewertung bei Abwicklung der Aumlnderung

Modellierung Aktualisierung PSA

Anmerkungen

a nein nein nein nein

b ja nein weder direkt noch indirekt

nein zu gegebener Zeit In-tegration der Erkennt-nisse aus der Aumlnde-rungsmaszlignahme in die PSA-Modellierung

gegebenenfalls spaumltere bzw zusammenfas-sende Bewertung der Aumlnderungsmaszlig-nahme u U Vorschlaumlge fuumlr Modifikationen im PSA-Modell (vergleichbar betriebsbeglei-tender Pruumlfung)

c ja ja direkt oder indi-rekt

ja in Ergaumlnzung zur deterministischen Bewertung

zeitgleiche zeitnahe Modellierung Aktuali-sierung der PSA-Model-lierung

unmittelbare Ruumlckkopplung zur Aumlnderungs-maszlignahme Voraussetzung konkrete Infor-mationen liegen vor (gegebenenfalls Ergaumln-zung bezuumlglich bisherigem Stand)

18

Eine nachtraumlgliche zusammenfassende probabilistische Bewertung mehrerer realisierter Aumlnderungsmaszlignah-men kann ergaumlnzend durchgefuumlhrt werden Fuumlr realisierte Aumlnderungsmaszlignahmen der Kategorie b wuumlrden sich dadurch u U ndash vergleichbar einer betriebsbegleitenden Pruumlfung und Kontrolle in anderen Bereichen oder der bisherigen Sicherheitsuumlberpruumlfung ndash Vorschlaumlge fuumlr Modifikationen im PSA-Modell ergeben Aumlnderungsmaszlignahmen bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist (Kategorie c) sollen einer probabilistischen Bewertung unterzogen werden Bei diesen Aumlnderungsmaszlignah-men empfiehlt sich eine zeitnahe Aktualisierung der PSA Unter Umstaumlnden ergibt sich fuumlr die probabilisti-sche Bewertung die Veranlassung von Parameter- bzw Sensitivitaumltsstudien wie es z B fuumlr probabilistische Bewertungen vor Genehmigung und Errichtung einer Anlage international uumlblich ist

32 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Fuumlr die zu treffende Entscheidung ob bei konkreten ereignis- bzw anlassbezogenen Fragestellungen proba-bilistische Untersuchungen durchzufuumlhren sind kann in Anlehnung an die beschriebene Vorgehensweise fuumlr die Kategorisierung von Aumlnderungsmaszlignahmen vorgegangen werden Die entsprechenden Kategorien fuumlr ereignis- bzw anlassbezogene Fragestellungen werden im Folgenden mit α β und γ bezeichnet Zur Unter-stuumltzung und nachvollziehbaren Dokumentation koumlnnen ebenfalls die 14 Fragen gemaumlszlig Anhang 1 herange-zogen werden d h es wird uumlberlegt und abgefragt ob z B ein aufgetretenes meldepflichtiges Ereignis Auswirkungen auf das bisherige Spektrum ausloumlsender Ereignisse auf die zugrunde gelegten Wirksamkeits-bedingungen auf die angenommenen Ereignisablaufsequenzen usw haben kann Probabilistische Untersu-chungen derartiger ereignis- bzw anlassbezogener Fragestellungen zielen ebenfalls auf die sicherheitstech-nische Bewertung der Auswirkungen auf das Sicherheitsniveau ab d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strate-gien) Insofern ist die Kategorie α vergleichbar der Kategorie a im Falle von Aumlnderungsmaszlignahmen d h es wird kein Einfluss auf die PSA der Anlage erwartet Wenn von einer ereignis- bzw anlassbezogenen Fragestellung keine nennenswerte Auswirkung auf die je-weils vorliegende PSA erwartet wird faumlllt diese in die Kategorie β Eine eventuelle Aktualisierung der PSA entfaumlllt aufgrund der zeitlichen Beschraumlnkung des Ereignisses bzw des Anlasses vgl auch Abschnitt 52 Fuumlr die Faumllle bei denen fuumlr eine ereignis- bzw anlassbezogene Fragestellung eine nennenswerte Auswir-kung auf die Ergebnisse der vorliegende PSA zu erwarten ist soll in Ergaumlnzung der deterministischen Be-wertung auch eine probabilistische Bewertung durchgefuumlhrt werden Hierbei ist zu beachten dass spezifi-sche Randbedingungen von denen der vorliegenden PSA abweichen koumlnnen Beispiele fuumlr diese Randbe-dingungen sind unter anderem (vgl ENSI 15) bull Die Dauer der Nichtverfuumlgbarkeit einer Komponente bull die der ereignis- bzw anlassbezogenen Fragestellung zugeordnete Anlagenkonfiguration wie zum Bei-

spiel keine weitere Nichtverfuumlgbarkeit aufgrund vorgezogener Instandhaltung oder kompensatorischer Maszlignahmen

bull die aktuell vorliegenden Systemschaltungen die zB eine veraumlnderte Verfuumlgbarkeit eines Systems be-deuten

bull die eventuelle Uumlbertragbarkeit des Anlasses auf weitere Komponenten zB Neubewertung der Verfuumlg-barkeit

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN Die Methoden Vorgehensweisen und Randbedingungen zur Erstellung probabilistischer Analysen im Rah-men der SUuml sind in dem PSA-Leitfaden BA 05 bzw in den zugehoumlrigen Methoden- und Datenbaumlnden METH 05 DAT 05 festgelegt (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) und im Grundsatz auch fuumlr die sicherheitstechnische Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen soweit moumlg-lich und sinnvoll anzuwenden Um die sicherheitstechnisch relevanten Fragestellungen beantworten zu koumln-nen ist es jedoch moumlglicherweise erforderlich detaillierter und realistischer zu modellieren Generell sind die probabilistischen Untersuchungen nur dort anzuwenden wo der Stand der Methodik und die verfuumlgbaren Daten dies erlauben Bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen sind Vorgehen Umfang und Detaillierungsgrad fallbezogen anzupassen Ein solcher gestaffelter Bewertungsansatz wird auch in IAEA GSR Part 4 Kap 3 IAEA 16 beschrieben

19

Im Falle einer detaillierten probabilistischen Bewertung ist eine wesentliche Randbedingung dass die fuumlr probabilistische Untersuchungen verwendeten Modellierungen und Zuverlaumlssigkeitskenngroumlszligen dem aktuel-len Anlagenzustand entsprechen Konkrete Beispiele zur Durchfuumlhrung solcher probabilistischer Untersuchungen sind in Anhang 5 aufgefuumlhrt Moumlgliche Auswirkungen (direkte und indirekte) der zu untersuchenden Fragestellung auf die Modellierung der probabilistischen Untersuchungen sind festzustellen und nachvollziehbar zu dokumentieren Sind von der zu untersuchenden Fragestellung zusaumltzlich nicht analysierte Bereiche bezuumlglich der vorliegenden pro-babilistischen Untersuchungen betroffen ist in geeigneter Weise auf diesen Aspekt einzugehen (vgl auch Abschnitt 32) Fuumlr alle Zustaumlnde (z B vor und nach einer Aumlnderung oder mehrere geplante Strategien) sind abhaumlngig von der zu untersuchenden Fragestellung nachvollziehbare quantitative und qualitative Daten und Informationen bereitzustellen Abhaumlngig von den relevanten Analysesachverhalten betrifft dies z B folgende Daten bzw Informationen bull Zuverlaumlssigkeitskenngroumlszligen bull Nichtverfuumlgbarkeiten und Unsicherheiten von Basisereignissen Fehlerbaumlumen Systemfunktionen Si-

cherheitsfunktionen bull Eintrittshaumlufigkeiten von Ereignisablaufsequenzen ausloumlsenden Ereignissen oder Endzustaumlnden bull Gesamtergebnis (z B Haumlufigkeit von Brennstabschadenszustaumlnden) und bull Importanz und Sensitivitaumlt von Zuverlaumlssigkeitskenngroumlszligen Basisereignissen und -gruppen sowie bull Modellierung des Ausfallverhaltens bull Beruumlcksichtigung und Modellierung von gemeinsam verursachten Ausfaumlllen bull Beruumlcksichtigung und Modellierung von Personalhandlungen bull Beruumlcksichtigung und Bewertung von Unsicherheiten bull Zusammensetzung von Minimalschnitten bull Bewertung von Ereignisablaufsequenzen hinsichtlich ihrer Endzustaumlnde sowie der Uumlbergaumlnge aus rele-

vanten Zwischenzustaumlnden

Ein grundlegender Unterschied bei der sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen im Vergleich zu ereignis- bzw anlassbezogenen Fragestellungen besteht darin dass sich erstere im Allgemei-nen auf eine Aumlnderung des Zustands der Anlage beziehen der andauert und sich auf das ganze Jahr be-zieht waumlhrend letztere sich auf temporaumlre Aumlnderungen beziehen Auch ist bei der sicherheitstechnischen Bewertung ereignis- bzw anlassbezogener Fragestellungen im Allgemeinen der zugrunde zu legende Zeit-raum eingrenzbar Bei probabilistischen Untersuchungen von ereignis- bzw anlassbezogenen Fragestellungen ist weiter zu dif-ferenzieren zwischen aufgetretenen Ereignissen und der Bewertung von Strategien bei mehreren zulaumlssigen Varianten Deshalb sind insbesondere bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen fuumlr ereignis- bzw anlassbezogenen Fragestellungen zeitabhaumlngige Analysen durchzufuumlhren welche die temporaumlren Aumln-derungen in den jeweiligen Zeitraumlumen zutreffend in den Modellierungen beruumlcksichtigen

5 VORGEHEN BEI DER BEWERTUNG Die probabilistische Bewertung der zu untersuchenden Fragestellung ist fallbezogen unter Beruumlcksichtigung der Unsicherheiten fuumlr die verschiedenen Ebenen der Modellierung der probabilistischen Untersuchungen durchzufuumlhren z B fuumlr Zuverlaumlssigkeitskenngroumlszligen Basisereignisse Fehlerbaumlume Systemfunktionen Si-cherheitsfunktionen Ereignisablaufsequenzen ausloumlsende Ereignisse und das Gesamtergebnis vgl auch Abschnitt 4 Daruumlber hinaus liefern die qualitativen Ergebnisse der anlagenspezifischen PSA ergaumlnzende Informationen und systematische Erkenntnisse Dafuumlr koumlnnen die Minimalschnitte der einzelnen Ereignisablaufsequenzen im Hinblick auf ihre Zusammensetzung ihre Beitraumlge sowie ihre jeweiligen Unsicherheiten analysiert wer-den Bei der Analyse und Bewertung der Minimalschnitte sollten administrative Regelungen oder Personal-handlungen besonders beachtet werden insbesondere solche die gewisse Schwaumlchen in der Anlagenaus-legung kompensieren sollen

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 5: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

4

5

INHALTSVERZEICHNIS

ZUSAMMENFASSUNG 3

ABSTRACT 3

INHALTSVERZEICHNIS 5

ABBILDUNGSVERZEICHNIS 7

TABELLENVERZEICHNIS 7

ABKUumlRZUNGSVERZEICHNIS 8

VORWORT 11

1 ZIELSETZUNGEN PROBABILISTISCHER BEWERTUNGEN AUSSERHALB DER SUuml 13

2 ANWENDUNGSGEBIETE 13

21 Allgemeines 13

22 Vorgehensweise 13

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS 15

31 Aumlnderungsmaszlignahmen 15

32 Ereignis- bzw anlassbezogene Fragestellungen 18

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN 18

5 VORGEHEN BEI DER BEWERTUNG 19

51 Aumlnderungsmaszlignahmen 20

52 Ereignis- bzw anlassbezogene Fragestellungen 20

LITERATURVERZEICHNIS 22

ANHAumlNGE 24

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGESTELLUNG 25

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DIE PSA-MODELLIERUNG 26

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY) 35

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE 38

6

ANHANG 5 KONKRETE BEISPIELE 39

A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung) 39

A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung) 41

A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung) 44

A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung) 47

A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung) 50

LITERATURVERZEICHNIS 54

BEGRIFFE 55

7

ABBILDUNGSVERZEICHNIS

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme 16

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit 43

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung) 49

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung) 49

TABELLENVERZEICHNIS

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung 17

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung) 40

8

ABKUumlRZUNGSVERZEICHNIS

A

AtG Atomgesetz

B

BE Brennelement Basisereignis BHB Betriebshandbuch BMUB Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit

D

DAF sekundaumlrseitiger Druckabfall (Reaktorschutzsignal) DH Druckhalter

E

EDW Explosionsdruckwelle

F

FAK PSA Facharbeitskreis probabilistische Sicherheitsanalyse FD Frischdampf FLAB Flugzeugabsturz

G

GVA Gemeinsam verursachter Ausfall

H

HGZ Haumlufigkeit von Gefaumlhrdungszustaumlnden

I

IAEA International Atomic Energy Agency

K

KKW Kernkraftwerk

M

ME Meldepflichtiges Ereignis

N

NLB Nichtleistungsbetrieb NHB Notfallhandbuch

P

PKL Primaumlrkreislauf PSA Probabilistische Sicherheitsanalyse PSF Performance Shaping Factor PSUuml Periodische Sicherheitsuumlberpruumlfung vgl SUuml

R

RESA Reaktorschnellabschaltung RSK Reaktorsicherheitskommission RSP Risk Spectrum (Software)

9

S

sbR schriftliche betriebliche Regelung SUuml Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a AtG SWR Siedewasserreaktor

T

TUSA Turbinenschnellabschaltung

W

WKP Wiederkehrende Pruumlfung

10

11

VORWORT

Fuumlr die deutschen Kernkraftwerke sind in der Vergangenheit probabilistische Sicherheitsanalysen im Rah-men der Sicherheitsuumlberpruumlfung (SUuml) nach sect 19a AtG auf der Basis des Leitfadens Probabilistische Sicher-heitsanalyse BA 05 durchgefuumlhrt worden Die im November 2012 verabschiedeten Sicherheitsanforderungen an Kernkraftwerke BA 15 fordern in 5 (5b) bdquoIn Ergaumlnzung der deterministischen Nachweisfuumlhrungen muumlssen probabilistische Sicherheitsanalysen zu-dem durchgefuumlhrt werden um die sicherheitstechnische Relevanz bull von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie bull von Erkenntnissen die aus aufgetretenen sicherheitsrelevanten Ereignissen oder Phaumlnomenen bekannt

geworden sind und deren Uumlbertragbarkeit auf die im Anwendungsbereich der bdquoSicherheitsanforderungen an KKWldquo benannten Kernkraftwerke in Deutschland gegeben ist

bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist zu bewertenldquo

Hierdurch gibt es im deutschen kerntechnischen Regelwerk die Anforderung sicherheitstechnische Frage-stellungen auszligerhalb der SUuml probabilistisch zu bewerten Daher wurde der FAK PSA vom BMUB beauftragt einen sich aus diesen Anforderungen ergebenden methodischen Ergaumlnzungsbedarf zu identifizieren und entsprechende methodische Hilfestellungen zu erarbeiten Mit dieser Anwendungsunterlage legt der FAK PSA seine Beratungsergebnisse vor Hierin wird ein grund-saumltzlicher methodischer Rahmen zur Einbeziehung probabilistischer Methoden bei der Bewertung sicher-heitstechnisch relevanter Fragestellungen auszligerhalb der SUuml vorgeschlagen Es werden keine Aussagen uumlber aufsichtliche Aspekte bezuumlglich der Erfuumlllung der oben genannten Anforderungen in atomrechtlichen Verfahren gemacht Eine Reihe von konkreten Beispielen aus der Praxis dokumentiert daruumlber hinaus einen Teil der in Deutsch-land auf diesem Gebiet bereits gemachten Erfahrungen und illustriert das vorgeschlagene Vorgehen

12

13

1 ZIELSETZUNGEN PROBABILISTISCHER BEWERTUNGEN AUSSERHALB DER SUuml Probabilistische Untersuchungen zur gesamtheitlichen Bewertung konkreter sicherheitstechnischer Frage-stellungen auszligerhalb der SUuml koumlnnen durchgefuumlhrt werden um ergaumlnzend zur deterministischen Nachweis-fuumlhrung zusaumltzliche Erkenntnisse mit diesem im Vergleich zu einer deterministischen Vorgehensweise me-thodisch anderen Ansatz zu gewinnen Damit koumlnnen gegebenenfalls zusaumltzliche sicherheitsrelevante Er-kenntnisse zur Unterstuumltzung von Entscheidungsprozessen identifiziert und bewertet werden

2 ANWENDUNGSGEBIETE 21 ALLGEMEINES Uumlber die Nutzung probabilistischer Untersuchungen in den wiederkehrenden SUuml hinaus koumlnnen probabilisti-sche Untersuchungen in folgenden Anwendungsgebieten zum Einsatz kommen bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Mit einer probabilistischen Bewertung kann ihre sicherheitstechnische Relevanz gezeigt werden d h welche Auswirkung die jeweilige Aumlnderung auf das Sicherheitsniveau einer Anlage hat

bull Ereignisse oder Anlaumlsse aus dem Betrieb der Anlage d h Erkenntnisse die aus aufgetretenen sicher-heitsrelevanten Ereignissen oder Phaumlnomenen bekannt geworden sind Diese koumlnnen sich z B auf Mel-depflichtige Ereignisse (ME) Stoumlrungen betriebliche Ausfaumllle Instandsetzungszeiten festzulegende Strategien bei mehreren zulaumlssigen Varianten oder temporaumlre Modifikationen von Hardware-Konfigurati-onen beziehen Die Anwendung probabilistischer Methoden bei derartigen ereignis- bzw anlassbezogenen Fragestellun-gen zielt ebenfalls auf die sicherheitstechnische Bewertung der Auswirkungen auf das Sicherheitsni-veau d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung ab (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strategien)

Die unterschiedlichen Anwendungsgebiete sind in den Abschnitten 22 und 3 charakterisiert

22 VORGEHENSWEISE Es soll die Frage beantwortet werden ob bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage oder bull zu bewertende ereignis- bzw anlassbezogene Fragestellungen einen nennenswerten Einfluss auf die Ergebnisse der PSA erwarten lassen Dies erfordert nicht immer die Durchfuumlhrung von umfangreichen probabilistischen Bewertungen Daher wird hierfuumlr ein gestaffeltes Verfah-ren vorgeschlagen (vgl Screening-Prozess in Abschnitt 3) um nachvollziehbar einordnen und festlegen zu koumlnnen ob derartige ergaumlnzende probabilistische Bewertungen durchzufuumlhren sind Ein zu erwartender Einfluss kann dahingehend bewertet werden in welchem Umfang er eine Veraumlnderung des probabilistischen Ergebnisses zur Folge hat und wie sich diese Aumlnderung gegenuumlber Orientierungswer-ten (vgl Angaben in der RSK-Stellungnahme aus der 460 Sitzung bdquoRSK-Verstaumlndnis der Sicherheitsphiloso-phie RSK 13) darstellt Was ein bdquonennenswerter Einflussldquo ist sollte im Einzelfall begruumlndet werden In einem ersten Schritt ist es oft ausreichend mit Hilfe eines Fragebogens (wie z B in Anhang 1) und ver-einfachten Methoden Bewertungen vorzunehmen Im Rahmen der Anwendung probabilistischer Methoden kann gegebenenfalls in einem zweiten Schritt zur Feststellung der moumlglichen Auswirkungen der betrachteten sicherheitstechnischen Fragestellung auf die PSA-Modellierung eine detaillierte Fragenliste (vgl Anhang 2) als systematisches Hilfsmittel herangezogen werden Dabei ist zu beachten dass die Auswirkungen z T direkt analysiert werden koumlnnen z T jedoch nur indirekt feststell- und bewertbar sind (z B ob das Ausfallverhalten einer passiven Komponente die von der sicherheitstechnischen Fragestellung betroffen ist weiterhin als numerisch vernachlaumlssigbar gegenuumlber dem Ausfallverhalten aktiver Komponenten angenommen werden kann)

14

Als Ergebnis dieser Untersuchung bull kann der Teil der PSA-Modellierung identifiziert werden der von der sicherheitstechnischen Fragestel-

lung betroffen ist bull koumlnnen die Teile der PSA festgestellt werden die modifiziert werden sollten bull koumlnnen die Analysen identifiziert werden die zur ergaumlnzenden probabilistischen Bewertung der sicher-

heitstechnischen Fragestellung durchgefuumlhrt werden sollten

Auszligerdem koumlnnen anhand dieser Untersuchung der Umfang und die Tiefe der notwendigen Analysen ermit-telt werden Im Hinblick auf den Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifischen PSA die derzeit be-stimmte Bereiche nicht enthalten ist zunaumlchst qualitativ zu untersuchen (vgl Anhang 2) ob die sicherheits-technische Fragestellung diese nicht analysierten Bereiche beeinflusst Ist das der Fall sind danach abde-ckende auch qualitative Betrachtungen oder gegebenenfalls Sensitivitaumltsuntersuchungen durchzufuumlhren (vgl Anhang 4) wobei auch deterministische Zuverlaumlssigkeitsprinzipien wie die Bewertung von z B Redun-danz Diversitaumlt oder vorgesehenen Maszlignahmen fuumlr die nicht analysierten Bereiche herangezogen werden koumlnnen Wichtig ist dass auf diesen Aspekt eingegangen wird und nicht der moumlglicherweise unzutreffende Ruumlckschluss gezogen wird dass Auswirkungen sicherheitstechnischer Fragestellungen nicht risikorelevant seien weil sie in den anlagenspezifischen PSA derzeit nicht analysierte Bereiche beeinflussen Zur Bewertung der Auswirkungen der sicherheitstechnischen Fragestellung kann es notwendig sein den De-taillierungsgrad d h Modellierungstiefe und -umfang der anlagenspezifischen PSA zu vergroumlszligern oder zu ergaumlnzen (z B modulare Darstellung leittechnischer Systemfunktionen Beruumlcksichtigung passiver Kompo-nenten) Die Modifikationen koumlnnen entweder im PSA-Modell selbst erfolgen oder moumlgliche Auswirkungen koumlnnen durch Sensitivitaumltsanalysen eingegrenzt oder durch qualitative Betrachtungen bewertet werden Nachdem die moumlglichen Auswirkungen der sicherheitstechnischen Fragestellungen auf die PSA-Modellie-rung ermittelt worden sind sind gegebenenfalls die entsprechenden Modifikationen in der Modellierung der zugrundeliegenden PSA die als Ausgangsbasis herangezogen wird durchzufuumlhren und zu dokumentieren Fuumlr eine effiziente Abwicklung sollten Prozeduren unter Einbeziehung notwendiger Gesichtspunkte der Qua-litaumltssicherung Anwendung finden vgl z B Anhang 3

15

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS Ein Screening-Prozess sollte fuumlr die in Abschnitt 2 genannten Anwendungsgebiete durchgefuumlhrt werden

31 AumlNDERUNGSMAszligNAHMEN Fuumlr Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage nachfolgend kurz Aumlnde-rungsmaszlignahmen genannt sollte eine Einordnung in drei Kategorien vorgenommen werden die den zu er-wartenden Einfluss auf die PSA angeben Diese Kategorien sind in Tabelle 1 und Abbildung 1 definiert sie werden mit a b und c bezeichnet Von Aumlnderungsmaszlignahmen der Kategorie a wird kein Einfluss auf die PSA erwartet Kriterien nach denen eine Zuordnung zur Kategorie a vorgenommen werden kann sind bull Es werden Komponenten oder Teile davon gegen gleichwertige ausgetauscht In diesem Fall sind in der

PSA die gleichen Zuverlaumlssigkeitskenngroumlszligen zu verwenden wie bisher und das Ergebnis kann sich nicht aumlndern Dies gilt nicht wenn sich der Komponententyp aumlndert z B Ersetzung einer Klappe durch einen Schieber

bull Es handelt sich um eine Reparaturmaszlignahme bei der der Sollzustand wieder hergestellt wird bull Es handelt sich um eine Ersatzteilbeschaffung bull Es handelt sich um Brennelement-Antransport -Abtransport oder -Einlagerung bull Es handelt sich um eine Aumlnderung der Dokumentation Eine gegebenenfalls zugrunde liegende Anla-

genaumlnderung ist dagegen zu betrachten

Im Weiteren koumlnnen zur Unterstuumltzung und nachvollziehbaren Dokumentation der Zuordnung zu den Kate-gorien die 14 Fragen gemaumlszlig Anhang 1 herangezogen werden Von Aumlnderungsmaszlignahmen der Kategorie b wird zwar grundsaumltzlich ein Einfluss auf die PSA erwartet aller-dings kein nennenswerter Einfluss auf ihre Ergebnisse (weder direkt noch indirekt vgl Abschnitt 22) Hier-von betroffen sind auch die Bereiche die auszligerhalb des Umfangs der als Ausgangsbasis verfuumlgbaren anla-genspezifischen PSA liegen Eine eventuelle Aktualisierung der PSA als Konsequenz von Aumlnderungsmaszlig-nahmen der Kategorie b d h die Integration der durchgefuumlhrten Aumlnderungen in das PSA-Modell sollte tur-nusgemaumlszlig erfolgen (Zeitraum kuumlrzer als SUuml-Zyklus vgl Abschnitt 5)

16

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme

17

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung

Kategorie Einfluss auf die PSA er-wartet

Nennenswer-ter Einfluss auf die Ergeb-nisse der PSA

Probabilistische Bewertung bei Abwicklung der Aumlnderung

Modellierung Aktualisierung PSA

Anmerkungen

a nein nein nein nein

b ja nein weder direkt noch indirekt

nein zu gegebener Zeit In-tegration der Erkennt-nisse aus der Aumlnde-rungsmaszlignahme in die PSA-Modellierung

gegebenenfalls spaumltere bzw zusammenfas-sende Bewertung der Aumlnderungsmaszlig-nahme u U Vorschlaumlge fuumlr Modifikationen im PSA-Modell (vergleichbar betriebsbeglei-tender Pruumlfung)

c ja ja direkt oder indi-rekt

ja in Ergaumlnzung zur deterministischen Bewertung

zeitgleiche zeitnahe Modellierung Aktuali-sierung der PSA-Model-lierung

unmittelbare Ruumlckkopplung zur Aumlnderungs-maszlignahme Voraussetzung konkrete Infor-mationen liegen vor (gegebenenfalls Ergaumln-zung bezuumlglich bisherigem Stand)

18

Eine nachtraumlgliche zusammenfassende probabilistische Bewertung mehrerer realisierter Aumlnderungsmaszlignah-men kann ergaumlnzend durchgefuumlhrt werden Fuumlr realisierte Aumlnderungsmaszlignahmen der Kategorie b wuumlrden sich dadurch u U ndash vergleichbar einer betriebsbegleitenden Pruumlfung und Kontrolle in anderen Bereichen oder der bisherigen Sicherheitsuumlberpruumlfung ndash Vorschlaumlge fuumlr Modifikationen im PSA-Modell ergeben Aumlnderungsmaszlignahmen bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist (Kategorie c) sollen einer probabilistischen Bewertung unterzogen werden Bei diesen Aumlnderungsmaszlignah-men empfiehlt sich eine zeitnahe Aktualisierung der PSA Unter Umstaumlnden ergibt sich fuumlr die probabilisti-sche Bewertung die Veranlassung von Parameter- bzw Sensitivitaumltsstudien wie es z B fuumlr probabilistische Bewertungen vor Genehmigung und Errichtung einer Anlage international uumlblich ist

32 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Fuumlr die zu treffende Entscheidung ob bei konkreten ereignis- bzw anlassbezogenen Fragestellungen proba-bilistische Untersuchungen durchzufuumlhren sind kann in Anlehnung an die beschriebene Vorgehensweise fuumlr die Kategorisierung von Aumlnderungsmaszlignahmen vorgegangen werden Die entsprechenden Kategorien fuumlr ereignis- bzw anlassbezogene Fragestellungen werden im Folgenden mit α β und γ bezeichnet Zur Unter-stuumltzung und nachvollziehbaren Dokumentation koumlnnen ebenfalls die 14 Fragen gemaumlszlig Anhang 1 herange-zogen werden d h es wird uumlberlegt und abgefragt ob z B ein aufgetretenes meldepflichtiges Ereignis Auswirkungen auf das bisherige Spektrum ausloumlsender Ereignisse auf die zugrunde gelegten Wirksamkeits-bedingungen auf die angenommenen Ereignisablaufsequenzen usw haben kann Probabilistische Untersu-chungen derartiger ereignis- bzw anlassbezogener Fragestellungen zielen ebenfalls auf die sicherheitstech-nische Bewertung der Auswirkungen auf das Sicherheitsniveau ab d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strate-gien) Insofern ist die Kategorie α vergleichbar der Kategorie a im Falle von Aumlnderungsmaszlignahmen d h es wird kein Einfluss auf die PSA der Anlage erwartet Wenn von einer ereignis- bzw anlassbezogenen Fragestellung keine nennenswerte Auswirkung auf die je-weils vorliegende PSA erwartet wird faumlllt diese in die Kategorie β Eine eventuelle Aktualisierung der PSA entfaumlllt aufgrund der zeitlichen Beschraumlnkung des Ereignisses bzw des Anlasses vgl auch Abschnitt 52 Fuumlr die Faumllle bei denen fuumlr eine ereignis- bzw anlassbezogene Fragestellung eine nennenswerte Auswir-kung auf die Ergebnisse der vorliegende PSA zu erwarten ist soll in Ergaumlnzung der deterministischen Be-wertung auch eine probabilistische Bewertung durchgefuumlhrt werden Hierbei ist zu beachten dass spezifi-sche Randbedingungen von denen der vorliegenden PSA abweichen koumlnnen Beispiele fuumlr diese Randbe-dingungen sind unter anderem (vgl ENSI 15) bull Die Dauer der Nichtverfuumlgbarkeit einer Komponente bull die der ereignis- bzw anlassbezogenen Fragestellung zugeordnete Anlagenkonfiguration wie zum Bei-

spiel keine weitere Nichtverfuumlgbarkeit aufgrund vorgezogener Instandhaltung oder kompensatorischer Maszlignahmen

bull die aktuell vorliegenden Systemschaltungen die zB eine veraumlnderte Verfuumlgbarkeit eines Systems be-deuten

bull die eventuelle Uumlbertragbarkeit des Anlasses auf weitere Komponenten zB Neubewertung der Verfuumlg-barkeit

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN Die Methoden Vorgehensweisen und Randbedingungen zur Erstellung probabilistischer Analysen im Rah-men der SUuml sind in dem PSA-Leitfaden BA 05 bzw in den zugehoumlrigen Methoden- und Datenbaumlnden METH 05 DAT 05 festgelegt (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) und im Grundsatz auch fuumlr die sicherheitstechnische Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen soweit moumlg-lich und sinnvoll anzuwenden Um die sicherheitstechnisch relevanten Fragestellungen beantworten zu koumln-nen ist es jedoch moumlglicherweise erforderlich detaillierter und realistischer zu modellieren Generell sind die probabilistischen Untersuchungen nur dort anzuwenden wo der Stand der Methodik und die verfuumlgbaren Daten dies erlauben Bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen sind Vorgehen Umfang und Detaillierungsgrad fallbezogen anzupassen Ein solcher gestaffelter Bewertungsansatz wird auch in IAEA GSR Part 4 Kap 3 IAEA 16 beschrieben

19

Im Falle einer detaillierten probabilistischen Bewertung ist eine wesentliche Randbedingung dass die fuumlr probabilistische Untersuchungen verwendeten Modellierungen und Zuverlaumlssigkeitskenngroumlszligen dem aktuel-len Anlagenzustand entsprechen Konkrete Beispiele zur Durchfuumlhrung solcher probabilistischer Untersuchungen sind in Anhang 5 aufgefuumlhrt Moumlgliche Auswirkungen (direkte und indirekte) der zu untersuchenden Fragestellung auf die Modellierung der probabilistischen Untersuchungen sind festzustellen und nachvollziehbar zu dokumentieren Sind von der zu untersuchenden Fragestellung zusaumltzlich nicht analysierte Bereiche bezuumlglich der vorliegenden pro-babilistischen Untersuchungen betroffen ist in geeigneter Weise auf diesen Aspekt einzugehen (vgl auch Abschnitt 32) Fuumlr alle Zustaumlnde (z B vor und nach einer Aumlnderung oder mehrere geplante Strategien) sind abhaumlngig von der zu untersuchenden Fragestellung nachvollziehbare quantitative und qualitative Daten und Informationen bereitzustellen Abhaumlngig von den relevanten Analysesachverhalten betrifft dies z B folgende Daten bzw Informationen bull Zuverlaumlssigkeitskenngroumlszligen bull Nichtverfuumlgbarkeiten und Unsicherheiten von Basisereignissen Fehlerbaumlumen Systemfunktionen Si-

cherheitsfunktionen bull Eintrittshaumlufigkeiten von Ereignisablaufsequenzen ausloumlsenden Ereignissen oder Endzustaumlnden bull Gesamtergebnis (z B Haumlufigkeit von Brennstabschadenszustaumlnden) und bull Importanz und Sensitivitaumlt von Zuverlaumlssigkeitskenngroumlszligen Basisereignissen und -gruppen sowie bull Modellierung des Ausfallverhaltens bull Beruumlcksichtigung und Modellierung von gemeinsam verursachten Ausfaumlllen bull Beruumlcksichtigung und Modellierung von Personalhandlungen bull Beruumlcksichtigung und Bewertung von Unsicherheiten bull Zusammensetzung von Minimalschnitten bull Bewertung von Ereignisablaufsequenzen hinsichtlich ihrer Endzustaumlnde sowie der Uumlbergaumlnge aus rele-

vanten Zwischenzustaumlnden

Ein grundlegender Unterschied bei der sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen im Vergleich zu ereignis- bzw anlassbezogenen Fragestellungen besteht darin dass sich erstere im Allgemei-nen auf eine Aumlnderung des Zustands der Anlage beziehen der andauert und sich auf das ganze Jahr be-zieht waumlhrend letztere sich auf temporaumlre Aumlnderungen beziehen Auch ist bei der sicherheitstechnischen Bewertung ereignis- bzw anlassbezogener Fragestellungen im Allgemeinen der zugrunde zu legende Zeit-raum eingrenzbar Bei probabilistischen Untersuchungen von ereignis- bzw anlassbezogenen Fragestellungen ist weiter zu dif-ferenzieren zwischen aufgetretenen Ereignissen und der Bewertung von Strategien bei mehreren zulaumlssigen Varianten Deshalb sind insbesondere bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen fuumlr ereignis- bzw anlassbezogenen Fragestellungen zeitabhaumlngige Analysen durchzufuumlhren welche die temporaumlren Aumln-derungen in den jeweiligen Zeitraumlumen zutreffend in den Modellierungen beruumlcksichtigen

5 VORGEHEN BEI DER BEWERTUNG Die probabilistische Bewertung der zu untersuchenden Fragestellung ist fallbezogen unter Beruumlcksichtigung der Unsicherheiten fuumlr die verschiedenen Ebenen der Modellierung der probabilistischen Untersuchungen durchzufuumlhren z B fuumlr Zuverlaumlssigkeitskenngroumlszligen Basisereignisse Fehlerbaumlume Systemfunktionen Si-cherheitsfunktionen Ereignisablaufsequenzen ausloumlsende Ereignisse und das Gesamtergebnis vgl auch Abschnitt 4 Daruumlber hinaus liefern die qualitativen Ergebnisse der anlagenspezifischen PSA ergaumlnzende Informationen und systematische Erkenntnisse Dafuumlr koumlnnen die Minimalschnitte der einzelnen Ereignisablaufsequenzen im Hinblick auf ihre Zusammensetzung ihre Beitraumlge sowie ihre jeweiligen Unsicherheiten analysiert wer-den Bei der Analyse und Bewertung der Minimalschnitte sollten administrative Regelungen oder Personal-handlungen besonders beachtet werden insbesondere solche die gewisse Schwaumlchen in der Anlagenaus-legung kompensieren sollen

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 6: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

5

INHALTSVERZEICHNIS

ZUSAMMENFASSUNG 3

ABSTRACT 3

INHALTSVERZEICHNIS 5

ABBILDUNGSVERZEICHNIS 7

TABELLENVERZEICHNIS 7

ABKUumlRZUNGSVERZEICHNIS 8

VORWORT 11

1 ZIELSETZUNGEN PROBABILISTISCHER BEWERTUNGEN AUSSERHALB DER SUuml 13

2 ANWENDUNGSGEBIETE 13

21 Allgemeines 13

22 Vorgehensweise 13

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS 15

31 Aumlnderungsmaszlignahmen 15

32 Ereignis- bzw anlassbezogene Fragestellungen 18

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN 18

5 VORGEHEN BEI DER BEWERTUNG 19

51 Aumlnderungsmaszlignahmen 20

52 Ereignis- bzw anlassbezogene Fragestellungen 20

LITERATURVERZEICHNIS 22

ANHAumlNGE 24

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGESTELLUNG 25

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DIE PSA-MODELLIERUNG 26

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY) 35

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE 38

6

ANHANG 5 KONKRETE BEISPIELE 39

A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung) 39

A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung) 41

A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung) 44

A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung) 47

A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung) 50

LITERATURVERZEICHNIS 54

BEGRIFFE 55

7

ABBILDUNGSVERZEICHNIS

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme 16

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit 43

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung) 49

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung) 49

TABELLENVERZEICHNIS

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung 17

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung) 40

8

ABKUumlRZUNGSVERZEICHNIS

A

AtG Atomgesetz

B

BE Brennelement Basisereignis BHB Betriebshandbuch BMUB Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit

D

DAF sekundaumlrseitiger Druckabfall (Reaktorschutzsignal) DH Druckhalter

E

EDW Explosionsdruckwelle

F

FAK PSA Facharbeitskreis probabilistische Sicherheitsanalyse FD Frischdampf FLAB Flugzeugabsturz

G

GVA Gemeinsam verursachter Ausfall

H

HGZ Haumlufigkeit von Gefaumlhrdungszustaumlnden

I

IAEA International Atomic Energy Agency

K

KKW Kernkraftwerk

M

ME Meldepflichtiges Ereignis

N

NLB Nichtleistungsbetrieb NHB Notfallhandbuch

P

PKL Primaumlrkreislauf PSA Probabilistische Sicherheitsanalyse PSF Performance Shaping Factor PSUuml Periodische Sicherheitsuumlberpruumlfung vgl SUuml

R

RESA Reaktorschnellabschaltung RSK Reaktorsicherheitskommission RSP Risk Spectrum (Software)

9

S

sbR schriftliche betriebliche Regelung SUuml Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a AtG SWR Siedewasserreaktor

T

TUSA Turbinenschnellabschaltung

W

WKP Wiederkehrende Pruumlfung

10

11

VORWORT

Fuumlr die deutschen Kernkraftwerke sind in der Vergangenheit probabilistische Sicherheitsanalysen im Rah-men der Sicherheitsuumlberpruumlfung (SUuml) nach sect 19a AtG auf der Basis des Leitfadens Probabilistische Sicher-heitsanalyse BA 05 durchgefuumlhrt worden Die im November 2012 verabschiedeten Sicherheitsanforderungen an Kernkraftwerke BA 15 fordern in 5 (5b) bdquoIn Ergaumlnzung der deterministischen Nachweisfuumlhrungen muumlssen probabilistische Sicherheitsanalysen zu-dem durchgefuumlhrt werden um die sicherheitstechnische Relevanz bull von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie bull von Erkenntnissen die aus aufgetretenen sicherheitsrelevanten Ereignissen oder Phaumlnomenen bekannt

geworden sind und deren Uumlbertragbarkeit auf die im Anwendungsbereich der bdquoSicherheitsanforderungen an KKWldquo benannten Kernkraftwerke in Deutschland gegeben ist

bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist zu bewertenldquo

Hierdurch gibt es im deutschen kerntechnischen Regelwerk die Anforderung sicherheitstechnische Frage-stellungen auszligerhalb der SUuml probabilistisch zu bewerten Daher wurde der FAK PSA vom BMUB beauftragt einen sich aus diesen Anforderungen ergebenden methodischen Ergaumlnzungsbedarf zu identifizieren und entsprechende methodische Hilfestellungen zu erarbeiten Mit dieser Anwendungsunterlage legt der FAK PSA seine Beratungsergebnisse vor Hierin wird ein grund-saumltzlicher methodischer Rahmen zur Einbeziehung probabilistischer Methoden bei der Bewertung sicher-heitstechnisch relevanter Fragestellungen auszligerhalb der SUuml vorgeschlagen Es werden keine Aussagen uumlber aufsichtliche Aspekte bezuumlglich der Erfuumlllung der oben genannten Anforderungen in atomrechtlichen Verfahren gemacht Eine Reihe von konkreten Beispielen aus der Praxis dokumentiert daruumlber hinaus einen Teil der in Deutsch-land auf diesem Gebiet bereits gemachten Erfahrungen und illustriert das vorgeschlagene Vorgehen

12

13

1 ZIELSETZUNGEN PROBABILISTISCHER BEWERTUNGEN AUSSERHALB DER SUuml Probabilistische Untersuchungen zur gesamtheitlichen Bewertung konkreter sicherheitstechnischer Frage-stellungen auszligerhalb der SUuml koumlnnen durchgefuumlhrt werden um ergaumlnzend zur deterministischen Nachweis-fuumlhrung zusaumltzliche Erkenntnisse mit diesem im Vergleich zu einer deterministischen Vorgehensweise me-thodisch anderen Ansatz zu gewinnen Damit koumlnnen gegebenenfalls zusaumltzliche sicherheitsrelevante Er-kenntnisse zur Unterstuumltzung von Entscheidungsprozessen identifiziert und bewertet werden

2 ANWENDUNGSGEBIETE 21 ALLGEMEINES Uumlber die Nutzung probabilistischer Untersuchungen in den wiederkehrenden SUuml hinaus koumlnnen probabilisti-sche Untersuchungen in folgenden Anwendungsgebieten zum Einsatz kommen bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Mit einer probabilistischen Bewertung kann ihre sicherheitstechnische Relevanz gezeigt werden d h welche Auswirkung die jeweilige Aumlnderung auf das Sicherheitsniveau einer Anlage hat

bull Ereignisse oder Anlaumlsse aus dem Betrieb der Anlage d h Erkenntnisse die aus aufgetretenen sicher-heitsrelevanten Ereignissen oder Phaumlnomenen bekannt geworden sind Diese koumlnnen sich z B auf Mel-depflichtige Ereignisse (ME) Stoumlrungen betriebliche Ausfaumllle Instandsetzungszeiten festzulegende Strategien bei mehreren zulaumlssigen Varianten oder temporaumlre Modifikationen von Hardware-Konfigurati-onen beziehen Die Anwendung probabilistischer Methoden bei derartigen ereignis- bzw anlassbezogenen Fragestellun-gen zielt ebenfalls auf die sicherheitstechnische Bewertung der Auswirkungen auf das Sicherheitsni-veau d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung ab (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strategien)

Die unterschiedlichen Anwendungsgebiete sind in den Abschnitten 22 und 3 charakterisiert

22 VORGEHENSWEISE Es soll die Frage beantwortet werden ob bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage oder bull zu bewertende ereignis- bzw anlassbezogene Fragestellungen einen nennenswerten Einfluss auf die Ergebnisse der PSA erwarten lassen Dies erfordert nicht immer die Durchfuumlhrung von umfangreichen probabilistischen Bewertungen Daher wird hierfuumlr ein gestaffeltes Verfah-ren vorgeschlagen (vgl Screening-Prozess in Abschnitt 3) um nachvollziehbar einordnen und festlegen zu koumlnnen ob derartige ergaumlnzende probabilistische Bewertungen durchzufuumlhren sind Ein zu erwartender Einfluss kann dahingehend bewertet werden in welchem Umfang er eine Veraumlnderung des probabilistischen Ergebnisses zur Folge hat und wie sich diese Aumlnderung gegenuumlber Orientierungswer-ten (vgl Angaben in der RSK-Stellungnahme aus der 460 Sitzung bdquoRSK-Verstaumlndnis der Sicherheitsphiloso-phie RSK 13) darstellt Was ein bdquonennenswerter Einflussldquo ist sollte im Einzelfall begruumlndet werden In einem ersten Schritt ist es oft ausreichend mit Hilfe eines Fragebogens (wie z B in Anhang 1) und ver-einfachten Methoden Bewertungen vorzunehmen Im Rahmen der Anwendung probabilistischer Methoden kann gegebenenfalls in einem zweiten Schritt zur Feststellung der moumlglichen Auswirkungen der betrachteten sicherheitstechnischen Fragestellung auf die PSA-Modellierung eine detaillierte Fragenliste (vgl Anhang 2) als systematisches Hilfsmittel herangezogen werden Dabei ist zu beachten dass die Auswirkungen z T direkt analysiert werden koumlnnen z T jedoch nur indirekt feststell- und bewertbar sind (z B ob das Ausfallverhalten einer passiven Komponente die von der sicherheitstechnischen Fragestellung betroffen ist weiterhin als numerisch vernachlaumlssigbar gegenuumlber dem Ausfallverhalten aktiver Komponenten angenommen werden kann)

14

Als Ergebnis dieser Untersuchung bull kann der Teil der PSA-Modellierung identifiziert werden der von der sicherheitstechnischen Fragestel-

lung betroffen ist bull koumlnnen die Teile der PSA festgestellt werden die modifiziert werden sollten bull koumlnnen die Analysen identifiziert werden die zur ergaumlnzenden probabilistischen Bewertung der sicher-

heitstechnischen Fragestellung durchgefuumlhrt werden sollten

Auszligerdem koumlnnen anhand dieser Untersuchung der Umfang und die Tiefe der notwendigen Analysen ermit-telt werden Im Hinblick auf den Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifischen PSA die derzeit be-stimmte Bereiche nicht enthalten ist zunaumlchst qualitativ zu untersuchen (vgl Anhang 2) ob die sicherheits-technische Fragestellung diese nicht analysierten Bereiche beeinflusst Ist das der Fall sind danach abde-ckende auch qualitative Betrachtungen oder gegebenenfalls Sensitivitaumltsuntersuchungen durchzufuumlhren (vgl Anhang 4) wobei auch deterministische Zuverlaumlssigkeitsprinzipien wie die Bewertung von z B Redun-danz Diversitaumlt oder vorgesehenen Maszlignahmen fuumlr die nicht analysierten Bereiche herangezogen werden koumlnnen Wichtig ist dass auf diesen Aspekt eingegangen wird und nicht der moumlglicherweise unzutreffende Ruumlckschluss gezogen wird dass Auswirkungen sicherheitstechnischer Fragestellungen nicht risikorelevant seien weil sie in den anlagenspezifischen PSA derzeit nicht analysierte Bereiche beeinflussen Zur Bewertung der Auswirkungen der sicherheitstechnischen Fragestellung kann es notwendig sein den De-taillierungsgrad d h Modellierungstiefe und -umfang der anlagenspezifischen PSA zu vergroumlszligern oder zu ergaumlnzen (z B modulare Darstellung leittechnischer Systemfunktionen Beruumlcksichtigung passiver Kompo-nenten) Die Modifikationen koumlnnen entweder im PSA-Modell selbst erfolgen oder moumlgliche Auswirkungen koumlnnen durch Sensitivitaumltsanalysen eingegrenzt oder durch qualitative Betrachtungen bewertet werden Nachdem die moumlglichen Auswirkungen der sicherheitstechnischen Fragestellungen auf die PSA-Modellie-rung ermittelt worden sind sind gegebenenfalls die entsprechenden Modifikationen in der Modellierung der zugrundeliegenden PSA die als Ausgangsbasis herangezogen wird durchzufuumlhren und zu dokumentieren Fuumlr eine effiziente Abwicklung sollten Prozeduren unter Einbeziehung notwendiger Gesichtspunkte der Qua-litaumltssicherung Anwendung finden vgl z B Anhang 3

15

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS Ein Screening-Prozess sollte fuumlr die in Abschnitt 2 genannten Anwendungsgebiete durchgefuumlhrt werden

31 AumlNDERUNGSMAszligNAHMEN Fuumlr Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage nachfolgend kurz Aumlnde-rungsmaszlignahmen genannt sollte eine Einordnung in drei Kategorien vorgenommen werden die den zu er-wartenden Einfluss auf die PSA angeben Diese Kategorien sind in Tabelle 1 und Abbildung 1 definiert sie werden mit a b und c bezeichnet Von Aumlnderungsmaszlignahmen der Kategorie a wird kein Einfluss auf die PSA erwartet Kriterien nach denen eine Zuordnung zur Kategorie a vorgenommen werden kann sind bull Es werden Komponenten oder Teile davon gegen gleichwertige ausgetauscht In diesem Fall sind in der

PSA die gleichen Zuverlaumlssigkeitskenngroumlszligen zu verwenden wie bisher und das Ergebnis kann sich nicht aumlndern Dies gilt nicht wenn sich der Komponententyp aumlndert z B Ersetzung einer Klappe durch einen Schieber

bull Es handelt sich um eine Reparaturmaszlignahme bei der der Sollzustand wieder hergestellt wird bull Es handelt sich um eine Ersatzteilbeschaffung bull Es handelt sich um Brennelement-Antransport -Abtransport oder -Einlagerung bull Es handelt sich um eine Aumlnderung der Dokumentation Eine gegebenenfalls zugrunde liegende Anla-

genaumlnderung ist dagegen zu betrachten

Im Weiteren koumlnnen zur Unterstuumltzung und nachvollziehbaren Dokumentation der Zuordnung zu den Kate-gorien die 14 Fragen gemaumlszlig Anhang 1 herangezogen werden Von Aumlnderungsmaszlignahmen der Kategorie b wird zwar grundsaumltzlich ein Einfluss auf die PSA erwartet aller-dings kein nennenswerter Einfluss auf ihre Ergebnisse (weder direkt noch indirekt vgl Abschnitt 22) Hier-von betroffen sind auch die Bereiche die auszligerhalb des Umfangs der als Ausgangsbasis verfuumlgbaren anla-genspezifischen PSA liegen Eine eventuelle Aktualisierung der PSA als Konsequenz von Aumlnderungsmaszlig-nahmen der Kategorie b d h die Integration der durchgefuumlhrten Aumlnderungen in das PSA-Modell sollte tur-nusgemaumlszlig erfolgen (Zeitraum kuumlrzer als SUuml-Zyklus vgl Abschnitt 5)

16

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme

17

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung

Kategorie Einfluss auf die PSA er-wartet

Nennenswer-ter Einfluss auf die Ergeb-nisse der PSA

Probabilistische Bewertung bei Abwicklung der Aumlnderung

Modellierung Aktualisierung PSA

Anmerkungen

a nein nein nein nein

b ja nein weder direkt noch indirekt

nein zu gegebener Zeit In-tegration der Erkennt-nisse aus der Aumlnde-rungsmaszlignahme in die PSA-Modellierung

gegebenenfalls spaumltere bzw zusammenfas-sende Bewertung der Aumlnderungsmaszlig-nahme u U Vorschlaumlge fuumlr Modifikationen im PSA-Modell (vergleichbar betriebsbeglei-tender Pruumlfung)

c ja ja direkt oder indi-rekt

ja in Ergaumlnzung zur deterministischen Bewertung

zeitgleiche zeitnahe Modellierung Aktuali-sierung der PSA-Model-lierung

unmittelbare Ruumlckkopplung zur Aumlnderungs-maszlignahme Voraussetzung konkrete Infor-mationen liegen vor (gegebenenfalls Ergaumln-zung bezuumlglich bisherigem Stand)

18

Eine nachtraumlgliche zusammenfassende probabilistische Bewertung mehrerer realisierter Aumlnderungsmaszlignah-men kann ergaumlnzend durchgefuumlhrt werden Fuumlr realisierte Aumlnderungsmaszlignahmen der Kategorie b wuumlrden sich dadurch u U ndash vergleichbar einer betriebsbegleitenden Pruumlfung und Kontrolle in anderen Bereichen oder der bisherigen Sicherheitsuumlberpruumlfung ndash Vorschlaumlge fuumlr Modifikationen im PSA-Modell ergeben Aumlnderungsmaszlignahmen bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist (Kategorie c) sollen einer probabilistischen Bewertung unterzogen werden Bei diesen Aumlnderungsmaszlignah-men empfiehlt sich eine zeitnahe Aktualisierung der PSA Unter Umstaumlnden ergibt sich fuumlr die probabilisti-sche Bewertung die Veranlassung von Parameter- bzw Sensitivitaumltsstudien wie es z B fuumlr probabilistische Bewertungen vor Genehmigung und Errichtung einer Anlage international uumlblich ist

32 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Fuumlr die zu treffende Entscheidung ob bei konkreten ereignis- bzw anlassbezogenen Fragestellungen proba-bilistische Untersuchungen durchzufuumlhren sind kann in Anlehnung an die beschriebene Vorgehensweise fuumlr die Kategorisierung von Aumlnderungsmaszlignahmen vorgegangen werden Die entsprechenden Kategorien fuumlr ereignis- bzw anlassbezogene Fragestellungen werden im Folgenden mit α β und γ bezeichnet Zur Unter-stuumltzung und nachvollziehbaren Dokumentation koumlnnen ebenfalls die 14 Fragen gemaumlszlig Anhang 1 herange-zogen werden d h es wird uumlberlegt und abgefragt ob z B ein aufgetretenes meldepflichtiges Ereignis Auswirkungen auf das bisherige Spektrum ausloumlsender Ereignisse auf die zugrunde gelegten Wirksamkeits-bedingungen auf die angenommenen Ereignisablaufsequenzen usw haben kann Probabilistische Untersu-chungen derartiger ereignis- bzw anlassbezogener Fragestellungen zielen ebenfalls auf die sicherheitstech-nische Bewertung der Auswirkungen auf das Sicherheitsniveau ab d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strate-gien) Insofern ist die Kategorie α vergleichbar der Kategorie a im Falle von Aumlnderungsmaszlignahmen d h es wird kein Einfluss auf die PSA der Anlage erwartet Wenn von einer ereignis- bzw anlassbezogenen Fragestellung keine nennenswerte Auswirkung auf die je-weils vorliegende PSA erwartet wird faumlllt diese in die Kategorie β Eine eventuelle Aktualisierung der PSA entfaumlllt aufgrund der zeitlichen Beschraumlnkung des Ereignisses bzw des Anlasses vgl auch Abschnitt 52 Fuumlr die Faumllle bei denen fuumlr eine ereignis- bzw anlassbezogene Fragestellung eine nennenswerte Auswir-kung auf die Ergebnisse der vorliegende PSA zu erwarten ist soll in Ergaumlnzung der deterministischen Be-wertung auch eine probabilistische Bewertung durchgefuumlhrt werden Hierbei ist zu beachten dass spezifi-sche Randbedingungen von denen der vorliegenden PSA abweichen koumlnnen Beispiele fuumlr diese Randbe-dingungen sind unter anderem (vgl ENSI 15) bull Die Dauer der Nichtverfuumlgbarkeit einer Komponente bull die der ereignis- bzw anlassbezogenen Fragestellung zugeordnete Anlagenkonfiguration wie zum Bei-

spiel keine weitere Nichtverfuumlgbarkeit aufgrund vorgezogener Instandhaltung oder kompensatorischer Maszlignahmen

bull die aktuell vorliegenden Systemschaltungen die zB eine veraumlnderte Verfuumlgbarkeit eines Systems be-deuten

bull die eventuelle Uumlbertragbarkeit des Anlasses auf weitere Komponenten zB Neubewertung der Verfuumlg-barkeit

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN Die Methoden Vorgehensweisen und Randbedingungen zur Erstellung probabilistischer Analysen im Rah-men der SUuml sind in dem PSA-Leitfaden BA 05 bzw in den zugehoumlrigen Methoden- und Datenbaumlnden METH 05 DAT 05 festgelegt (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) und im Grundsatz auch fuumlr die sicherheitstechnische Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen soweit moumlg-lich und sinnvoll anzuwenden Um die sicherheitstechnisch relevanten Fragestellungen beantworten zu koumln-nen ist es jedoch moumlglicherweise erforderlich detaillierter und realistischer zu modellieren Generell sind die probabilistischen Untersuchungen nur dort anzuwenden wo der Stand der Methodik und die verfuumlgbaren Daten dies erlauben Bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen sind Vorgehen Umfang und Detaillierungsgrad fallbezogen anzupassen Ein solcher gestaffelter Bewertungsansatz wird auch in IAEA GSR Part 4 Kap 3 IAEA 16 beschrieben

19

Im Falle einer detaillierten probabilistischen Bewertung ist eine wesentliche Randbedingung dass die fuumlr probabilistische Untersuchungen verwendeten Modellierungen und Zuverlaumlssigkeitskenngroumlszligen dem aktuel-len Anlagenzustand entsprechen Konkrete Beispiele zur Durchfuumlhrung solcher probabilistischer Untersuchungen sind in Anhang 5 aufgefuumlhrt Moumlgliche Auswirkungen (direkte und indirekte) der zu untersuchenden Fragestellung auf die Modellierung der probabilistischen Untersuchungen sind festzustellen und nachvollziehbar zu dokumentieren Sind von der zu untersuchenden Fragestellung zusaumltzlich nicht analysierte Bereiche bezuumlglich der vorliegenden pro-babilistischen Untersuchungen betroffen ist in geeigneter Weise auf diesen Aspekt einzugehen (vgl auch Abschnitt 32) Fuumlr alle Zustaumlnde (z B vor und nach einer Aumlnderung oder mehrere geplante Strategien) sind abhaumlngig von der zu untersuchenden Fragestellung nachvollziehbare quantitative und qualitative Daten und Informationen bereitzustellen Abhaumlngig von den relevanten Analysesachverhalten betrifft dies z B folgende Daten bzw Informationen bull Zuverlaumlssigkeitskenngroumlszligen bull Nichtverfuumlgbarkeiten und Unsicherheiten von Basisereignissen Fehlerbaumlumen Systemfunktionen Si-

cherheitsfunktionen bull Eintrittshaumlufigkeiten von Ereignisablaufsequenzen ausloumlsenden Ereignissen oder Endzustaumlnden bull Gesamtergebnis (z B Haumlufigkeit von Brennstabschadenszustaumlnden) und bull Importanz und Sensitivitaumlt von Zuverlaumlssigkeitskenngroumlszligen Basisereignissen und -gruppen sowie bull Modellierung des Ausfallverhaltens bull Beruumlcksichtigung und Modellierung von gemeinsam verursachten Ausfaumlllen bull Beruumlcksichtigung und Modellierung von Personalhandlungen bull Beruumlcksichtigung und Bewertung von Unsicherheiten bull Zusammensetzung von Minimalschnitten bull Bewertung von Ereignisablaufsequenzen hinsichtlich ihrer Endzustaumlnde sowie der Uumlbergaumlnge aus rele-

vanten Zwischenzustaumlnden

Ein grundlegender Unterschied bei der sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen im Vergleich zu ereignis- bzw anlassbezogenen Fragestellungen besteht darin dass sich erstere im Allgemei-nen auf eine Aumlnderung des Zustands der Anlage beziehen der andauert und sich auf das ganze Jahr be-zieht waumlhrend letztere sich auf temporaumlre Aumlnderungen beziehen Auch ist bei der sicherheitstechnischen Bewertung ereignis- bzw anlassbezogener Fragestellungen im Allgemeinen der zugrunde zu legende Zeit-raum eingrenzbar Bei probabilistischen Untersuchungen von ereignis- bzw anlassbezogenen Fragestellungen ist weiter zu dif-ferenzieren zwischen aufgetretenen Ereignissen und der Bewertung von Strategien bei mehreren zulaumlssigen Varianten Deshalb sind insbesondere bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen fuumlr ereignis- bzw anlassbezogenen Fragestellungen zeitabhaumlngige Analysen durchzufuumlhren welche die temporaumlren Aumln-derungen in den jeweiligen Zeitraumlumen zutreffend in den Modellierungen beruumlcksichtigen

5 VORGEHEN BEI DER BEWERTUNG Die probabilistische Bewertung der zu untersuchenden Fragestellung ist fallbezogen unter Beruumlcksichtigung der Unsicherheiten fuumlr die verschiedenen Ebenen der Modellierung der probabilistischen Untersuchungen durchzufuumlhren z B fuumlr Zuverlaumlssigkeitskenngroumlszligen Basisereignisse Fehlerbaumlume Systemfunktionen Si-cherheitsfunktionen Ereignisablaufsequenzen ausloumlsende Ereignisse und das Gesamtergebnis vgl auch Abschnitt 4 Daruumlber hinaus liefern die qualitativen Ergebnisse der anlagenspezifischen PSA ergaumlnzende Informationen und systematische Erkenntnisse Dafuumlr koumlnnen die Minimalschnitte der einzelnen Ereignisablaufsequenzen im Hinblick auf ihre Zusammensetzung ihre Beitraumlge sowie ihre jeweiligen Unsicherheiten analysiert wer-den Bei der Analyse und Bewertung der Minimalschnitte sollten administrative Regelungen oder Personal-handlungen besonders beachtet werden insbesondere solche die gewisse Schwaumlchen in der Anlagenaus-legung kompensieren sollen

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 7: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

6

ANHANG 5 KONKRETE BEISPIELE 39

A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung) 39

A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung) 41

A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung) 44

A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung) 47

A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung) 50

LITERATURVERZEICHNIS 54

BEGRIFFE 55

7

ABBILDUNGSVERZEICHNIS

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme 16

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit 43

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung) 49

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung) 49

TABELLENVERZEICHNIS

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung 17

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung) 40

8

ABKUumlRZUNGSVERZEICHNIS

A

AtG Atomgesetz

B

BE Brennelement Basisereignis BHB Betriebshandbuch BMUB Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit

D

DAF sekundaumlrseitiger Druckabfall (Reaktorschutzsignal) DH Druckhalter

E

EDW Explosionsdruckwelle

F

FAK PSA Facharbeitskreis probabilistische Sicherheitsanalyse FD Frischdampf FLAB Flugzeugabsturz

G

GVA Gemeinsam verursachter Ausfall

H

HGZ Haumlufigkeit von Gefaumlhrdungszustaumlnden

I

IAEA International Atomic Energy Agency

K

KKW Kernkraftwerk

M

ME Meldepflichtiges Ereignis

N

NLB Nichtleistungsbetrieb NHB Notfallhandbuch

P

PKL Primaumlrkreislauf PSA Probabilistische Sicherheitsanalyse PSF Performance Shaping Factor PSUuml Periodische Sicherheitsuumlberpruumlfung vgl SUuml

R

RESA Reaktorschnellabschaltung RSK Reaktorsicherheitskommission RSP Risk Spectrum (Software)

9

S

sbR schriftliche betriebliche Regelung SUuml Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a AtG SWR Siedewasserreaktor

T

TUSA Turbinenschnellabschaltung

W

WKP Wiederkehrende Pruumlfung

10

11

VORWORT

Fuumlr die deutschen Kernkraftwerke sind in der Vergangenheit probabilistische Sicherheitsanalysen im Rah-men der Sicherheitsuumlberpruumlfung (SUuml) nach sect 19a AtG auf der Basis des Leitfadens Probabilistische Sicher-heitsanalyse BA 05 durchgefuumlhrt worden Die im November 2012 verabschiedeten Sicherheitsanforderungen an Kernkraftwerke BA 15 fordern in 5 (5b) bdquoIn Ergaumlnzung der deterministischen Nachweisfuumlhrungen muumlssen probabilistische Sicherheitsanalysen zu-dem durchgefuumlhrt werden um die sicherheitstechnische Relevanz bull von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie bull von Erkenntnissen die aus aufgetretenen sicherheitsrelevanten Ereignissen oder Phaumlnomenen bekannt

geworden sind und deren Uumlbertragbarkeit auf die im Anwendungsbereich der bdquoSicherheitsanforderungen an KKWldquo benannten Kernkraftwerke in Deutschland gegeben ist

bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist zu bewertenldquo

Hierdurch gibt es im deutschen kerntechnischen Regelwerk die Anforderung sicherheitstechnische Frage-stellungen auszligerhalb der SUuml probabilistisch zu bewerten Daher wurde der FAK PSA vom BMUB beauftragt einen sich aus diesen Anforderungen ergebenden methodischen Ergaumlnzungsbedarf zu identifizieren und entsprechende methodische Hilfestellungen zu erarbeiten Mit dieser Anwendungsunterlage legt der FAK PSA seine Beratungsergebnisse vor Hierin wird ein grund-saumltzlicher methodischer Rahmen zur Einbeziehung probabilistischer Methoden bei der Bewertung sicher-heitstechnisch relevanter Fragestellungen auszligerhalb der SUuml vorgeschlagen Es werden keine Aussagen uumlber aufsichtliche Aspekte bezuumlglich der Erfuumlllung der oben genannten Anforderungen in atomrechtlichen Verfahren gemacht Eine Reihe von konkreten Beispielen aus der Praxis dokumentiert daruumlber hinaus einen Teil der in Deutsch-land auf diesem Gebiet bereits gemachten Erfahrungen und illustriert das vorgeschlagene Vorgehen

12

13

1 ZIELSETZUNGEN PROBABILISTISCHER BEWERTUNGEN AUSSERHALB DER SUuml Probabilistische Untersuchungen zur gesamtheitlichen Bewertung konkreter sicherheitstechnischer Frage-stellungen auszligerhalb der SUuml koumlnnen durchgefuumlhrt werden um ergaumlnzend zur deterministischen Nachweis-fuumlhrung zusaumltzliche Erkenntnisse mit diesem im Vergleich zu einer deterministischen Vorgehensweise me-thodisch anderen Ansatz zu gewinnen Damit koumlnnen gegebenenfalls zusaumltzliche sicherheitsrelevante Er-kenntnisse zur Unterstuumltzung von Entscheidungsprozessen identifiziert und bewertet werden

2 ANWENDUNGSGEBIETE 21 ALLGEMEINES Uumlber die Nutzung probabilistischer Untersuchungen in den wiederkehrenden SUuml hinaus koumlnnen probabilisti-sche Untersuchungen in folgenden Anwendungsgebieten zum Einsatz kommen bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Mit einer probabilistischen Bewertung kann ihre sicherheitstechnische Relevanz gezeigt werden d h welche Auswirkung die jeweilige Aumlnderung auf das Sicherheitsniveau einer Anlage hat

bull Ereignisse oder Anlaumlsse aus dem Betrieb der Anlage d h Erkenntnisse die aus aufgetretenen sicher-heitsrelevanten Ereignissen oder Phaumlnomenen bekannt geworden sind Diese koumlnnen sich z B auf Mel-depflichtige Ereignisse (ME) Stoumlrungen betriebliche Ausfaumllle Instandsetzungszeiten festzulegende Strategien bei mehreren zulaumlssigen Varianten oder temporaumlre Modifikationen von Hardware-Konfigurati-onen beziehen Die Anwendung probabilistischer Methoden bei derartigen ereignis- bzw anlassbezogenen Fragestellun-gen zielt ebenfalls auf die sicherheitstechnische Bewertung der Auswirkungen auf das Sicherheitsni-veau d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung ab (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strategien)

Die unterschiedlichen Anwendungsgebiete sind in den Abschnitten 22 und 3 charakterisiert

22 VORGEHENSWEISE Es soll die Frage beantwortet werden ob bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage oder bull zu bewertende ereignis- bzw anlassbezogene Fragestellungen einen nennenswerten Einfluss auf die Ergebnisse der PSA erwarten lassen Dies erfordert nicht immer die Durchfuumlhrung von umfangreichen probabilistischen Bewertungen Daher wird hierfuumlr ein gestaffeltes Verfah-ren vorgeschlagen (vgl Screening-Prozess in Abschnitt 3) um nachvollziehbar einordnen und festlegen zu koumlnnen ob derartige ergaumlnzende probabilistische Bewertungen durchzufuumlhren sind Ein zu erwartender Einfluss kann dahingehend bewertet werden in welchem Umfang er eine Veraumlnderung des probabilistischen Ergebnisses zur Folge hat und wie sich diese Aumlnderung gegenuumlber Orientierungswer-ten (vgl Angaben in der RSK-Stellungnahme aus der 460 Sitzung bdquoRSK-Verstaumlndnis der Sicherheitsphiloso-phie RSK 13) darstellt Was ein bdquonennenswerter Einflussldquo ist sollte im Einzelfall begruumlndet werden In einem ersten Schritt ist es oft ausreichend mit Hilfe eines Fragebogens (wie z B in Anhang 1) und ver-einfachten Methoden Bewertungen vorzunehmen Im Rahmen der Anwendung probabilistischer Methoden kann gegebenenfalls in einem zweiten Schritt zur Feststellung der moumlglichen Auswirkungen der betrachteten sicherheitstechnischen Fragestellung auf die PSA-Modellierung eine detaillierte Fragenliste (vgl Anhang 2) als systematisches Hilfsmittel herangezogen werden Dabei ist zu beachten dass die Auswirkungen z T direkt analysiert werden koumlnnen z T jedoch nur indirekt feststell- und bewertbar sind (z B ob das Ausfallverhalten einer passiven Komponente die von der sicherheitstechnischen Fragestellung betroffen ist weiterhin als numerisch vernachlaumlssigbar gegenuumlber dem Ausfallverhalten aktiver Komponenten angenommen werden kann)

14

Als Ergebnis dieser Untersuchung bull kann der Teil der PSA-Modellierung identifiziert werden der von der sicherheitstechnischen Fragestel-

lung betroffen ist bull koumlnnen die Teile der PSA festgestellt werden die modifiziert werden sollten bull koumlnnen die Analysen identifiziert werden die zur ergaumlnzenden probabilistischen Bewertung der sicher-

heitstechnischen Fragestellung durchgefuumlhrt werden sollten

Auszligerdem koumlnnen anhand dieser Untersuchung der Umfang und die Tiefe der notwendigen Analysen ermit-telt werden Im Hinblick auf den Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifischen PSA die derzeit be-stimmte Bereiche nicht enthalten ist zunaumlchst qualitativ zu untersuchen (vgl Anhang 2) ob die sicherheits-technische Fragestellung diese nicht analysierten Bereiche beeinflusst Ist das der Fall sind danach abde-ckende auch qualitative Betrachtungen oder gegebenenfalls Sensitivitaumltsuntersuchungen durchzufuumlhren (vgl Anhang 4) wobei auch deterministische Zuverlaumlssigkeitsprinzipien wie die Bewertung von z B Redun-danz Diversitaumlt oder vorgesehenen Maszlignahmen fuumlr die nicht analysierten Bereiche herangezogen werden koumlnnen Wichtig ist dass auf diesen Aspekt eingegangen wird und nicht der moumlglicherweise unzutreffende Ruumlckschluss gezogen wird dass Auswirkungen sicherheitstechnischer Fragestellungen nicht risikorelevant seien weil sie in den anlagenspezifischen PSA derzeit nicht analysierte Bereiche beeinflussen Zur Bewertung der Auswirkungen der sicherheitstechnischen Fragestellung kann es notwendig sein den De-taillierungsgrad d h Modellierungstiefe und -umfang der anlagenspezifischen PSA zu vergroumlszligern oder zu ergaumlnzen (z B modulare Darstellung leittechnischer Systemfunktionen Beruumlcksichtigung passiver Kompo-nenten) Die Modifikationen koumlnnen entweder im PSA-Modell selbst erfolgen oder moumlgliche Auswirkungen koumlnnen durch Sensitivitaumltsanalysen eingegrenzt oder durch qualitative Betrachtungen bewertet werden Nachdem die moumlglichen Auswirkungen der sicherheitstechnischen Fragestellungen auf die PSA-Modellie-rung ermittelt worden sind sind gegebenenfalls die entsprechenden Modifikationen in der Modellierung der zugrundeliegenden PSA die als Ausgangsbasis herangezogen wird durchzufuumlhren und zu dokumentieren Fuumlr eine effiziente Abwicklung sollten Prozeduren unter Einbeziehung notwendiger Gesichtspunkte der Qua-litaumltssicherung Anwendung finden vgl z B Anhang 3

15

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS Ein Screening-Prozess sollte fuumlr die in Abschnitt 2 genannten Anwendungsgebiete durchgefuumlhrt werden

31 AumlNDERUNGSMAszligNAHMEN Fuumlr Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage nachfolgend kurz Aumlnde-rungsmaszlignahmen genannt sollte eine Einordnung in drei Kategorien vorgenommen werden die den zu er-wartenden Einfluss auf die PSA angeben Diese Kategorien sind in Tabelle 1 und Abbildung 1 definiert sie werden mit a b und c bezeichnet Von Aumlnderungsmaszlignahmen der Kategorie a wird kein Einfluss auf die PSA erwartet Kriterien nach denen eine Zuordnung zur Kategorie a vorgenommen werden kann sind bull Es werden Komponenten oder Teile davon gegen gleichwertige ausgetauscht In diesem Fall sind in der

PSA die gleichen Zuverlaumlssigkeitskenngroumlszligen zu verwenden wie bisher und das Ergebnis kann sich nicht aumlndern Dies gilt nicht wenn sich der Komponententyp aumlndert z B Ersetzung einer Klappe durch einen Schieber

bull Es handelt sich um eine Reparaturmaszlignahme bei der der Sollzustand wieder hergestellt wird bull Es handelt sich um eine Ersatzteilbeschaffung bull Es handelt sich um Brennelement-Antransport -Abtransport oder -Einlagerung bull Es handelt sich um eine Aumlnderung der Dokumentation Eine gegebenenfalls zugrunde liegende Anla-

genaumlnderung ist dagegen zu betrachten

Im Weiteren koumlnnen zur Unterstuumltzung und nachvollziehbaren Dokumentation der Zuordnung zu den Kate-gorien die 14 Fragen gemaumlszlig Anhang 1 herangezogen werden Von Aumlnderungsmaszlignahmen der Kategorie b wird zwar grundsaumltzlich ein Einfluss auf die PSA erwartet aller-dings kein nennenswerter Einfluss auf ihre Ergebnisse (weder direkt noch indirekt vgl Abschnitt 22) Hier-von betroffen sind auch die Bereiche die auszligerhalb des Umfangs der als Ausgangsbasis verfuumlgbaren anla-genspezifischen PSA liegen Eine eventuelle Aktualisierung der PSA als Konsequenz von Aumlnderungsmaszlig-nahmen der Kategorie b d h die Integration der durchgefuumlhrten Aumlnderungen in das PSA-Modell sollte tur-nusgemaumlszlig erfolgen (Zeitraum kuumlrzer als SUuml-Zyklus vgl Abschnitt 5)

16

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme

17

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung

Kategorie Einfluss auf die PSA er-wartet

Nennenswer-ter Einfluss auf die Ergeb-nisse der PSA

Probabilistische Bewertung bei Abwicklung der Aumlnderung

Modellierung Aktualisierung PSA

Anmerkungen

a nein nein nein nein

b ja nein weder direkt noch indirekt

nein zu gegebener Zeit In-tegration der Erkennt-nisse aus der Aumlnde-rungsmaszlignahme in die PSA-Modellierung

gegebenenfalls spaumltere bzw zusammenfas-sende Bewertung der Aumlnderungsmaszlig-nahme u U Vorschlaumlge fuumlr Modifikationen im PSA-Modell (vergleichbar betriebsbeglei-tender Pruumlfung)

c ja ja direkt oder indi-rekt

ja in Ergaumlnzung zur deterministischen Bewertung

zeitgleiche zeitnahe Modellierung Aktuali-sierung der PSA-Model-lierung

unmittelbare Ruumlckkopplung zur Aumlnderungs-maszlignahme Voraussetzung konkrete Infor-mationen liegen vor (gegebenenfalls Ergaumln-zung bezuumlglich bisherigem Stand)

18

Eine nachtraumlgliche zusammenfassende probabilistische Bewertung mehrerer realisierter Aumlnderungsmaszlignah-men kann ergaumlnzend durchgefuumlhrt werden Fuumlr realisierte Aumlnderungsmaszlignahmen der Kategorie b wuumlrden sich dadurch u U ndash vergleichbar einer betriebsbegleitenden Pruumlfung und Kontrolle in anderen Bereichen oder der bisherigen Sicherheitsuumlberpruumlfung ndash Vorschlaumlge fuumlr Modifikationen im PSA-Modell ergeben Aumlnderungsmaszlignahmen bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist (Kategorie c) sollen einer probabilistischen Bewertung unterzogen werden Bei diesen Aumlnderungsmaszlignah-men empfiehlt sich eine zeitnahe Aktualisierung der PSA Unter Umstaumlnden ergibt sich fuumlr die probabilisti-sche Bewertung die Veranlassung von Parameter- bzw Sensitivitaumltsstudien wie es z B fuumlr probabilistische Bewertungen vor Genehmigung und Errichtung einer Anlage international uumlblich ist

32 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Fuumlr die zu treffende Entscheidung ob bei konkreten ereignis- bzw anlassbezogenen Fragestellungen proba-bilistische Untersuchungen durchzufuumlhren sind kann in Anlehnung an die beschriebene Vorgehensweise fuumlr die Kategorisierung von Aumlnderungsmaszlignahmen vorgegangen werden Die entsprechenden Kategorien fuumlr ereignis- bzw anlassbezogene Fragestellungen werden im Folgenden mit α β und γ bezeichnet Zur Unter-stuumltzung und nachvollziehbaren Dokumentation koumlnnen ebenfalls die 14 Fragen gemaumlszlig Anhang 1 herange-zogen werden d h es wird uumlberlegt und abgefragt ob z B ein aufgetretenes meldepflichtiges Ereignis Auswirkungen auf das bisherige Spektrum ausloumlsender Ereignisse auf die zugrunde gelegten Wirksamkeits-bedingungen auf die angenommenen Ereignisablaufsequenzen usw haben kann Probabilistische Untersu-chungen derartiger ereignis- bzw anlassbezogener Fragestellungen zielen ebenfalls auf die sicherheitstech-nische Bewertung der Auswirkungen auf das Sicherheitsniveau ab d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strate-gien) Insofern ist die Kategorie α vergleichbar der Kategorie a im Falle von Aumlnderungsmaszlignahmen d h es wird kein Einfluss auf die PSA der Anlage erwartet Wenn von einer ereignis- bzw anlassbezogenen Fragestellung keine nennenswerte Auswirkung auf die je-weils vorliegende PSA erwartet wird faumlllt diese in die Kategorie β Eine eventuelle Aktualisierung der PSA entfaumlllt aufgrund der zeitlichen Beschraumlnkung des Ereignisses bzw des Anlasses vgl auch Abschnitt 52 Fuumlr die Faumllle bei denen fuumlr eine ereignis- bzw anlassbezogene Fragestellung eine nennenswerte Auswir-kung auf die Ergebnisse der vorliegende PSA zu erwarten ist soll in Ergaumlnzung der deterministischen Be-wertung auch eine probabilistische Bewertung durchgefuumlhrt werden Hierbei ist zu beachten dass spezifi-sche Randbedingungen von denen der vorliegenden PSA abweichen koumlnnen Beispiele fuumlr diese Randbe-dingungen sind unter anderem (vgl ENSI 15) bull Die Dauer der Nichtverfuumlgbarkeit einer Komponente bull die der ereignis- bzw anlassbezogenen Fragestellung zugeordnete Anlagenkonfiguration wie zum Bei-

spiel keine weitere Nichtverfuumlgbarkeit aufgrund vorgezogener Instandhaltung oder kompensatorischer Maszlignahmen

bull die aktuell vorliegenden Systemschaltungen die zB eine veraumlnderte Verfuumlgbarkeit eines Systems be-deuten

bull die eventuelle Uumlbertragbarkeit des Anlasses auf weitere Komponenten zB Neubewertung der Verfuumlg-barkeit

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN Die Methoden Vorgehensweisen und Randbedingungen zur Erstellung probabilistischer Analysen im Rah-men der SUuml sind in dem PSA-Leitfaden BA 05 bzw in den zugehoumlrigen Methoden- und Datenbaumlnden METH 05 DAT 05 festgelegt (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) und im Grundsatz auch fuumlr die sicherheitstechnische Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen soweit moumlg-lich und sinnvoll anzuwenden Um die sicherheitstechnisch relevanten Fragestellungen beantworten zu koumln-nen ist es jedoch moumlglicherweise erforderlich detaillierter und realistischer zu modellieren Generell sind die probabilistischen Untersuchungen nur dort anzuwenden wo der Stand der Methodik und die verfuumlgbaren Daten dies erlauben Bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen sind Vorgehen Umfang und Detaillierungsgrad fallbezogen anzupassen Ein solcher gestaffelter Bewertungsansatz wird auch in IAEA GSR Part 4 Kap 3 IAEA 16 beschrieben

19

Im Falle einer detaillierten probabilistischen Bewertung ist eine wesentliche Randbedingung dass die fuumlr probabilistische Untersuchungen verwendeten Modellierungen und Zuverlaumlssigkeitskenngroumlszligen dem aktuel-len Anlagenzustand entsprechen Konkrete Beispiele zur Durchfuumlhrung solcher probabilistischer Untersuchungen sind in Anhang 5 aufgefuumlhrt Moumlgliche Auswirkungen (direkte und indirekte) der zu untersuchenden Fragestellung auf die Modellierung der probabilistischen Untersuchungen sind festzustellen und nachvollziehbar zu dokumentieren Sind von der zu untersuchenden Fragestellung zusaumltzlich nicht analysierte Bereiche bezuumlglich der vorliegenden pro-babilistischen Untersuchungen betroffen ist in geeigneter Weise auf diesen Aspekt einzugehen (vgl auch Abschnitt 32) Fuumlr alle Zustaumlnde (z B vor und nach einer Aumlnderung oder mehrere geplante Strategien) sind abhaumlngig von der zu untersuchenden Fragestellung nachvollziehbare quantitative und qualitative Daten und Informationen bereitzustellen Abhaumlngig von den relevanten Analysesachverhalten betrifft dies z B folgende Daten bzw Informationen bull Zuverlaumlssigkeitskenngroumlszligen bull Nichtverfuumlgbarkeiten und Unsicherheiten von Basisereignissen Fehlerbaumlumen Systemfunktionen Si-

cherheitsfunktionen bull Eintrittshaumlufigkeiten von Ereignisablaufsequenzen ausloumlsenden Ereignissen oder Endzustaumlnden bull Gesamtergebnis (z B Haumlufigkeit von Brennstabschadenszustaumlnden) und bull Importanz und Sensitivitaumlt von Zuverlaumlssigkeitskenngroumlszligen Basisereignissen und -gruppen sowie bull Modellierung des Ausfallverhaltens bull Beruumlcksichtigung und Modellierung von gemeinsam verursachten Ausfaumlllen bull Beruumlcksichtigung und Modellierung von Personalhandlungen bull Beruumlcksichtigung und Bewertung von Unsicherheiten bull Zusammensetzung von Minimalschnitten bull Bewertung von Ereignisablaufsequenzen hinsichtlich ihrer Endzustaumlnde sowie der Uumlbergaumlnge aus rele-

vanten Zwischenzustaumlnden

Ein grundlegender Unterschied bei der sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen im Vergleich zu ereignis- bzw anlassbezogenen Fragestellungen besteht darin dass sich erstere im Allgemei-nen auf eine Aumlnderung des Zustands der Anlage beziehen der andauert und sich auf das ganze Jahr be-zieht waumlhrend letztere sich auf temporaumlre Aumlnderungen beziehen Auch ist bei der sicherheitstechnischen Bewertung ereignis- bzw anlassbezogener Fragestellungen im Allgemeinen der zugrunde zu legende Zeit-raum eingrenzbar Bei probabilistischen Untersuchungen von ereignis- bzw anlassbezogenen Fragestellungen ist weiter zu dif-ferenzieren zwischen aufgetretenen Ereignissen und der Bewertung von Strategien bei mehreren zulaumlssigen Varianten Deshalb sind insbesondere bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen fuumlr ereignis- bzw anlassbezogenen Fragestellungen zeitabhaumlngige Analysen durchzufuumlhren welche die temporaumlren Aumln-derungen in den jeweiligen Zeitraumlumen zutreffend in den Modellierungen beruumlcksichtigen

5 VORGEHEN BEI DER BEWERTUNG Die probabilistische Bewertung der zu untersuchenden Fragestellung ist fallbezogen unter Beruumlcksichtigung der Unsicherheiten fuumlr die verschiedenen Ebenen der Modellierung der probabilistischen Untersuchungen durchzufuumlhren z B fuumlr Zuverlaumlssigkeitskenngroumlszligen Basisereignisse Fehlerbaumlume Systemfunktionen Si-cherheitsfunktionen Ereignisablaufsequenzen ausloumlsende Ereignisse und das Gesamtergebnis vgl auch Abschnitt 4 Daruumlber hinaus liefern die qualitativen Ergebnisse der anlagenspezifischen PSA ergaumlnzende Informationen und systematische Erkenntnisse Dafuumlr koumlnnen die Minimalschnitte der einzelnen Ereignisablaufsequenzen im Hinblick auf ihre Zusammensetzung ihre Beitraumlge sowie ihre jeweiligen Unsicherheiten analysiert wer-den Bei der Analyse und Bewertung der Minimalschnitte sollten administrative Regelungen oder Personal-handlungen besonders beachtet werden insbesondere solche die gewisse Schwaumlchen in der Anlagenaus-legung kompensieren sollen

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 8: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

7

ABBILDUNGSVERZEICHNIS

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme 16

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit 43

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung) 49

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung) 49

TABELLENVERZEICHNIS

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung 17

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung) 40

8

ABKUumlRZUNGSVERZEICHNIS

A

AtG Atomgesetz

B

BE Brennelement Basisereignis BHB Betriebshandbuch BMUB Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit

D

DAF sekundaumlrseitiger Druckabfall (Reaktorschutzsignal) DH Druckhalter

E

EDW Explosionsdruckwelle

F

FAK PSA Facharbeitskreis probabilistische Sicherheitsanalyse FD Frischdampf FLAB Flugzeugabsturz

G

GVA Gemeinsam verursachter Ausfall

H

HGZ Haumlufigkeit von Gefaumlhrdungszustaumlnden

I

IAEA International Atomic Energy Agency

K

KKW Kernkraftwerk

M

ME Meldepflichtiges Ereignis

N

NLB Nichtleistungsbetrieb NHB Notfallhandbuch

P

PKL Primaumlrkreislauf PSA Probabilistische Sicherheitsanalyse PSF Performance Shaping Factor PSUuml Periodische Sicherheitsuumlberpruumlfung vgl SUuml

R

RESA Reaktorschnellabschaltung RSK Reaktorsicherheitskommission RSP Risk Spectrum (Software)

9

S

sbR schriftliche betriebliche Regelung SUuml Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a AtG SWR Siedewasserreaktor

T

TUSA Turbinenschnellabschaltung

W

WKP Wiederkehrende Pruumlfung

10

11

VORWORT

Fuumlr die deutschen Kernkraftwerke sind in der Vergangenheit probabilistische Sicherheitsanalysen im Rah-men der Sicherheitsuumlberpruumlfung (SUuml) nach sect 19a AtG auf der Basis des Leitfadens Probabilistische Sicher-heitsanalyse BA 05 durchgefuumlhrt worden Die im November 2012 verabschiedeten Sicherheitsanforderungen an Kernkraftwerke BA 15 fordern in 5 (5b) bdquoIn Ergaumlnzung der deterministischen Nachweisfuumlhrungen muumlssen probabilistische Sicherheitsanalysen zu-dem durchgefuumlhrt werden um die sicherheitstechnische Relevanz bull von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie bull von Erkenntnissen die aus aufgetretenen sicherheitsrelevanten Ereignissen oder Phaumlnomenen bekannt

geworden sind und deren Uumlbertragbarkeit auf die im Anwendungsbereich der bdquoSicherheitsanforderungen an KKWldquo benannten Kernkraftwerke in Deutschland gegeben ist

bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist zu bewertenldquo

Hierdurch gibt es im deutschen kerntechnischen Regelwerk die Anforderung sicherheitstechnische Frage-stellungen auszligerhalb der SUuml probabilistisch zu bewerten Daher wurde der FAK PSA vom BMUB beauftragt einen sich aus diesen Anforderungen ergebenden methodischen Ergaumlnzungsbedarf zu identifizieren und entsprechende methodische Hilfestellungen zu erarbeiten Mit dieser Anwendungsunterlage legt der FAK PSA seine Beratungsergebnisse vor Hierin wird ein grund-saumltzlicher methodischer Rahmen zur Einbeziehung probabilistischer Methoden bei der Bewertung sicher-heitstechnisch relevanter Fragestellungen auszligerhalb der SUuml vorgeschlagen Es werden keine Aussagen uumlber aufsichtliche Aspekte bezuumlglich der Erfuumlllung der oben genannten Anforderungen in atomrechtlichen Verfahren gemacht Eine Reihe von konkreten Beispielen aus der Praxis dokumentiert daruumlber hinaus einen Teil der in Deutsch-land auf diesem Gebiet bereits gemachten Erfahrungen und illustriert das vorgeschlagene Vorgehen

12

13

1 ZIELSETZUNGEN PROBABILISTISCHER BEWERTUNGEN AUSSERHALB DER SUuml Probabilistische Untersuchungen zur gesamtheitlichen Bewertung konkreter sicherheitstechnischer Frage-stellungen auszligerhalb der SUuml koumlnnen durchgefuumlhrt werden um ergaumlnzend zur deterministischen Nachweis-fuumlhrung zusaumltzliche Erkenntnisse mit diesem im Vergleich zu einer deterministischen Vorgehensweise me-thodisch anderen Ansatz zu gewinnen Damit koumlnnen gegebenenfalls zusaumltzliche sicherheitsrelevante Er-kenntnisse zur Unterstuumltzung von Entscheidungsprozessen identifiziert und bewertet werden

2 ANWENDUNGSGEBIETE 21 ALLGEMEINES Uumlber die Nutzung probabilistischer Untersuchungen in den wiederkehrenden SUuml hinaus koumlnnen probabilisti-sche Untersuchungen in folgenden Anwendungsgebieten zum Einsatz kommen bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Mit einer probabilistischen Bewertung kann ihre sicherheitstechnische Relevanz gezeigt werden d h welche Auswirkung die jeweilige Aumlnderung auf das Sicherheitsniveau einer Anlage hat

bull Ereignisse oder Anlaumlsse aus dem Betrieb der Anlage d h Erkenntnisse die aus aufgetretenen sicher-heitsrelevanten Ereignissen oder Phaumlnomenen bekannt geworden sind Diese koumlnnen sich z B auf Mel-depflichtige Ereignisse (ME) Stoumlrungen betriebliche Ausfaumllle Instandsetzungszeiten festzulegende Strategien bei mehreren zulaumlssigen Varianten oder temporaumlre Modifikationen von Hardware-Konfigurati-onen beziehen Die Anwendung probabilistischer Methoden bei derartigen ereignis- bzw anlassbezogenen Fragestellun-gen zielt ebenfalls auf die sicherheitstechnische Bewertung der Auswirkungen auf das Sicherheitsni-veau d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung ab (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strategien)

Die unterschiedlichen Anwendungsgebiete sind in den Abschnitten 22 und 3 charakterisiert

22 VORGEHENSWEISE Es soll die Frage beantwortet werden ob bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage oder bull zu bewertende ereignis- bzw anlassbezogene Fragestellungen einen nennenswerten Einfluss auf die Ergebnisse der PSA erwarten lassen Dies erfordert nicht immer die Durchfuumlhrung von umfangreichen probabilistischen Bewertungen Daher wird hierfuumlr ein gestaffeltes Verfah-ren vorgeschlagen (vgl Screening-Prozess in Abschnitt 3) um nachvollziehbar einordnen und festlegen zu koumlnnen ob derartige ergaumlnzende probabilistische Bewertungen durchzufuumlhren sind Ein zu erwartender Einfluss kann dahingehend bewertet werden in welchem Umfang er eine Veraumlnderung des probabilistischen Ergebnisses zur Folge hat und wie sich diese Aumlnderung gegenuumlber Orientierungswer-ten (vgl Angaben in der RSK-Stellungnahme aus der 460 Sitzung bdquoRSK-Verstaumlndnis der Sicherheitsphiloso-phie RSK 13) darstellt Was ein bdquonennenswerter Einflussldquo ist sollte im Einzelfall begruumlndet werden In einem ersten Schritt ist es oft ausreichend mit Hilfe eines Fragebogens (wie z B in Anhang 1) und ver-einfachten Methoden Bewertungen vorzunehmen Im Rahmen der Anwendung probabilistischer Methoden kann gegebenenfalls in einem zweiten Schritt zur Feststellung der moumlglichen Auswirkungen der betrachteten sicherheitstechnischen Fragestellung auf die PSA-Modellierung eine detaillierte Fragenliste (vgl Anhang 2) als systematisches Hilfsmittel herangezogen werden Dabei ist zu beachten dass die Auswirkungen z T direkt analysiert werden koumlnnen z T jedoch nur indirekt feststell- und bewertbar sind (z B ob das Ausfallverhalten einer passiven Komponente die von der sicherheitstechnischen Fragestellung betroffen ist weiterhin als numerisch vernachlaumlssigbar gegenuumlber dem Ausfallverhalten aktiver Komponenten angenommen werden kann)

14

Als Ergebnis dieser Untersuchung bull kann der Teil der PSA-Modellierung identifiziert werden der von der sicherheitstechnischen Fragestel-

lung betroffen ist bull koumlnnen die Teile der PSA festgestellt werden die modifiziert werden sollten bull koumlnnen die Analysen identifiziert werden die zur ergaumlnzenden probabilistischen Bewertung der sicher-

heitstechnischen Fragestellung durchgefuumlhrt werden sollten

Auszligerdem koumlnnen anhand dieser Untersuchung der Umfang und die Tiefe der notwendigen Analysen ermit-telt werden Im Hinblick auf den Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifischen PSA die derzeit be-stimmte Bereiche nicht enthalten ist zunaumlchst qualitativ zu untersuchen (vgl Anhang 2) ob die sicherheits-technische Fragestellung diese nicht analysierten Bereiche beeinflusst Ist das der Fall sind danach abde-ckende auch qualitative Betrachtungen oder gegebenenfalls Sensitivitaumltsuntersuchungen durchzufuumlhren (vgl Anhang 4) wobei auch deterministische Zuverlaumlssigkeitsprinzipien wie die Bewertung von z B Redun-danz Diversitaumlt oder vorgesehenen Maszlignahmen fuumlr die nicht analysierten Bereiche herangezogen werden koumlnnen Wichtig ist dass auf diesen Aspekt eingegangen wird und nicht der moumlglicherweise unzutreffende Ruumlckschluss gezogen wird dass Auswirkungen sicherheitstechnischer Fragestellungen nicht risikorelevant seien weil sie in den anlagenspezifischen PSA derzeit nicht analysierte Bereiche beeinflussen Zur Bewertung der Auswirkungen der sicherheitstechnischen Fragestellung kann es notwendig sein den De-taillierungsgrad d h Modellierungstiefe und -umfang der anlagenspezifischen PSA zu vergroumlszligern oder zu ergaumlnzen (z B modulare Darstellung leittechnischer Systemfunktionen Beruumlcksichtigung passiver Kompo-nenten) Die Modifikationen koumlnnen entweder im PSA-Modell selbst erfolgen oder moumlgliche Auswirkungen koumlnnen durch Sensitivitaumltsanalysen eingegrenzt oder durch qualitative Betrachtungen bewertet werden Nachdem die moumlglichen Auswirkungen der sicherheitstechnischen Fragestellungen auf die PSA-Modellie-rung ermittelt worden sind sind gegebenenfalls die entsprechenden Modifikationen in der Modellierung der zugrundeliegenden PSA die als Ausgangsbasis herangezogen wird durchzufuumlhren und zu dokumentieren Fuumlr eine effiziente Abwicklung sollten Prozeduren unter Einbeziehung notwendiger Gesichtspunkte der Qua-litaumltssicherung Anwendung finden vgl z B Anhang 3

15

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS Ein Screening-Prozess sollte fuumlr die in Abschnitt 2 genannten Anwendungsgebiete durchgefuumlhrt werden

31 AumlNDERUNGSMAszligNAHMEN Fuumlr Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage nachfolgend kurz Aumlnde-rungsmaszlignahmen genannt sollte eine Einordnung in drei Kategorien vorgenommen werden die den zu er-wartenden Einfluss auf die PSA angeben Diese Kategorien sind in Tabelle 1 und Abbildung 1 definiert sie werden mit a b und c bezeichnet Von Aumlnderungsmaszlignahmen der Kategorie a wird kein Einfluss auf die PSA erwartet Kriterien nach denen eine Zuordnung zur Kategorie a vorgenommen werden kann sind bull Es werden Komponenten oder Teile davon gegen gleichwertige ausgetauscht In diesem Fall sind in der

PSA die gleichen Zuverlaumlssigkeitskenngroumlszligen zu verwenden wie bisher und das Ergebnis kann sich nicht aumlndern Dies gilt nicht wenn sich der Komponententyp aumlndert z B Ersetzung einer Klappe durch einen Schieber

bull Es handelt sich um eine Reparaturmaszlignahme bei der der Sollzustand wieder hergestellt wird bull Es handelt sich um eine Ersatzteilbeschaffung bull Es handelt sich um Brennelement-Antransport -Abtransport oder -Einlagerung bull Es handelt sich um eine Aumlnderung der Dokumentation Eine gegebenenfalls zugrunde liegende Anla-

genaumlnderung ist dagegen zu betrachten

Im Weiteren koumlnnen zur Unterstuumltzung und nachvollziehbaren Dokumentation der Zuordnung zu den Kate-gorien die 14 Fragen gemaumlszlig Anhang 1 herangezogen werden Von Aumlnderungsmaszlignahmen der Kategorie b wird zwar grundsaumltzlich ein Einfluss auf die PSA erwartet aller-dings kein nennenswerter Einfluss auf ihre Ergebnisse (weder direkt noch indirekt vgl Abschnitt 22) Hier-von betroffen sind auch die Bereiche die auszligerhalb des Umfangs der als Ausgangsbasis verfuumlgbaren anla-genspezifischen PSA liegen Eine eventuelle Aktualisierung der PSA als Konsequenz von Aumlnderungsmaszlig-nahmen der Kategorie b d h die Integration der durchgefuumlhrten Aumlnderungen in das PSA-Modell sollte tur-nusgemaumlszlig erfolgen (Zeitraum kuumlrzer als SUuml-Zyklus vgl Abschnitt 5)

16

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme

17

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung

Kategorie Einfluss auf die PSA er-wartet

Nennenswer-ter Einfluss auf die Ergeb-nisse der PSA

Probabilistische Bewertung bei Abwicklung der Aumlnderung

Modellierung Aktualisierung PSA

Anmerkungen

a nein nein nein nein

b ja nein weder direkt noch indirekt

nein zu gegebener Zeit In-tegration der Erkennt-nisse aus der Aumlnde-rungsmaszlignahme in die PSA-Modellierung

gegebenenfalls spaumltere bzw zusammenfas-sende Bewertung der Aumlnderungsmaszlig-nahme u U Vorschlaumlge fuumlr Modifikationen im PSA-Modell (vergleichbar betriebsbeglei-tender Pruumlfung)

c ja ja direkt oder indi-rekt

ja in Ergaumlnzung zur deterministischen Bewertung

zeitgleiche zeitnahe Modellierung Aktuali-sierung der PSA-Model-lierung

unmittelbare Ruumlckkopplung zur Aumlnderungs-maszlignahme Voraussetzung konkrete Infor-mationen liegen vor (gegebenenfalls Ergaumln-zung bezuumlglich bisherigem Stand)

18

Eine nachtraumlgliche zusammenfassende probabilistische Bewertung mehrerer realisierter Aumlnderungsmaszlignah-men kann ergaumlnzend durchgefuumlhrt werden Fuumlr realisierte Aumlnderungsmaszlignahmen der Kategorie b wuumlrden sich dadurch u U ndash vergleichbar einer betriebsbegleitenden Pruumlfung und Kontrolle in anderen Bereichen oder der bisherigen Sicherheitsuumlberpruumlfung ndash Vorschlaumlge fuumlr Modifikationen im PSA-Modell ergeben Aumlnderungsmaszlignahmen bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist (Kategorie c) sollen einer probabilistischen Bewertung unterzogen werden Bei diesen Aumlnderungsmaszlignah-men empfiehlt sich eine zeitnahe Aktualisierung der PSA Unter Umstaumlnden ergibt sich fuumlr die probabilisti-sche Bewertung die Veranlassung von Parameter- bzw Sensitivitaumltsstudien wie es z B fuumlr probabilistische Bewertungen vor Genehmigung und Errichtung einer Anlage international uumlblich ist

32 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Fuumlr die zu treffende Entscheidung ob bei konkreten ereignis- bzw anlassbezogenen Fragestellungen proba-bilistische Untersuchungen durchzufuumlhren sind kann in Anlehnung an die beschriebene Vorgehensweise fuumlr die Kategorisierung von Aumlnderungsmaszlignahmen vorgegangen werden Die entsprechenden Kategorien fuumlr ereignis- bzw anlassbezogene Fragestellungen werden im Folgenden mit α β und γ bezeichnet Zur Unter-stuumltzung und nachvollziehbaren Dokumentation koumlnnen ebenfalls die 14 Fragen gemaumlszlig Anhang 1 herange-zogen werden d h es wird uumlberlegt und abgefragt ob z B ein aufgetretenes meldepflichtiges Ereignis Auswirkungen auf das bisherige Spektrum ausloumlsender Ereignisse auf die zugrunde gelegten Wirksamkeits-bedingungen auf die angenommenen Ereignisablaufsequenzen usw haben kann Probabilistische Untersu-chungen derartiger ereignis- bzw anlassbezogener Fragestellungen zielen ebenfalls auf die sicherheitstech-nische Bewertung der Auswirkungen auf das Sicherheitsniveau ab d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strate-gien) Insofern ist die Kategorie α vergleichbar der Kategorie a im Falle von Aumlnderungsmaszlignahmen d h es wird kein Einfluss auf die PSA der Anlage erwartet Wenn von einer ereignis- bzw anlassbezogenen Fragestellung keine nennenswerte Auswirkung auf die je-weils vorliegende PSA erwartet wird faumlllt diese in die Kategorie β Eine eventuelle Aktualisierung der PSA entfaumlllt aufgrund der zeitlichen Beschraumlnkung des Ereignisses bzw des Anlasses vgl auch Abschnitt 52 Fuumlr die Faumllle bei denen fuumlr eine ereignis- bzw anlassbezogene Fragestellung eine nennenswerte Auswir-kung auf die Ergebnisse der vorliegende PSA zu erwarten ist soll in Ergaumlnzung der deterministischen Be-wertung auch eine probabilistische Bewertung durchgefuumlhrt werden Hierbei ist zu beachten dass spezifi-sche Randbedingungen von denen der vorliegenden PSA abweichen koumlnnen Beispiele fuumlr diese Randbe-dingungen sind unter anderem (vgl ENSI 15) bull Die Dauer der Nichtverfuumlgbarkeit einer Komponente bull die der ereignis- bzw anlassbezogenen Fragestellung zugeordnete Anlagenkonfiguration wie zum Bei-

spiel keine weitere Nichtverfuumlgbarkeit aufgrund vorgezogener Instandhaltung oder kompensatorischer Maszlignahmen

bull die aktuell vorliegenden Systemschaltungen die zB eine veraumlnderte Verfuumlgbarkeit eines Systems be-deuten

bull die eventuelle Uumlbertragbarkeit des Anlasses auf weitere Komponenten zB Neubewertung der Verfuumlg-barkeit

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN Die Methoden Vorgehensweisen und Randbedingungen zur Erstellung probabilistischer Analysen im Rah-men der SUuml sind in dem PSA-Leitfaden BA 05 bzw in den zugehoumlrigen Methoden- und Datenbaumlnden METH 05 DAT 05 festgelegt (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) und im Grundsatz auch fuumlr die sicherheitstechnische Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen soweit moumlg-lich und sinnvoll anzuwenden Um die sicherheitstechnisch relevanten Fragestellungen beantworten zu koumln-nen ist es jedoch moumlglicherweise erforderlich detaillierter und realistischer zu modellieren Generell sind die probabilistischen Untersuchungen nur dort anzuwenden wo der Stand der Methodik und die verfuumlgbaren Daten dies erlauben Bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen sind Vorgehen Umfang und Detaillierungsgrad fallbezogen anzupassen Ein solcher gestaffelter Bewertungsansatz wird auch in IAEA GSR Part 4 Kap 3 IAEA 16 beschrieben

19

Im Falle einer detaillierten probabilistischen Bewertung ist eine wesentliche Randbedingung dass die fuumlr probabilistische Untersuchungen verwendeten Modellierungen und Zuverlaumlssigkeitskenngroumlszligen dem aktuel-len Anlagenzustand entsprechen Konkrete Beispiele zur Durchfuumlhrung solcher probabilistischer Untersuchungen sind in Anhang 5 aufgefuumlhrt Moumlgliche Auswirkungen (direkte und indirekte) der zu untersuchenden Fragestellung auf die Modellierung der probabilistischen Untersuchungen sind festzustellen und nachvollziehbar zu dokumentieren Sind von der zu untersuchenden Fragestellung zusaumltzlich nicht analysierte Bereiche bezuumlglich der vorliegenden pro-babilistischen Untersuchungen betroffen ist in geeigneter Weise auf diesen Aspekt einzugehen (vgl auch Abschnitt 32) Fuumlr alle Zustaumlnde (z B vor und nach einer Aumlnderung oder mehrere geplante Strategien) sind abhaumlngig von der zu untersuchenden Fragestellung nachvollziehbare quantitative und qualitative Daten und Informationen bereitzustellen Abhaumlngig von den relevanten Analysesachverhalten betrifft dies z B folgende Daten bzw Informationen bull Zuverlaumlssigkeitskenngroumlszligen bull Nichtverfuumlgbarkeiten und Unsicherheiten von Basisereignissen Fehlerbaumlumen Systemfunktionen Si-

cherheitsfunktionen bull Eintrittshaumlufigkeiten von Ereignisablaufsequenzen ausloumlsenden Ereignissen oder Endzustaumlnden bull Gesamtergebnis (z B Haumlufigkeit von Brennstabschadenszustaumlnden) und bull Importanz und Sensitivitaumlt von Zuverlaumlssigkeitskenngroumlszligen Basisereignissen und -gruppen sowie bull Modellierung des Ausfallverhaltens bull Beruumlcksichtigung und Modellierung von gemeinsam verursachten Ausfaumlllen bull Beruumlcksichtigung und Modellierung von Personalhandlungen bull Beruumlcksichtigung und Bewertung von Unsicherheiten bull Zusammensetzung von Minimalschnitten bull Bewertung von Ereignisablaufsequenzen hinsichtlich ihrer Endzustaumlnde sowie der Uumlbergaumlnge aus rele-

vanten Zwischenzustaumlnden

Ein grundlegender Unterschied bei der sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen im Vergleich zu ereignis- bzw anlassbezogenen Fragestellungen besteht darin dass sich erstere im Allgemei-nen auf eine Aumlnderung des Zustands der Anlage beziehen der andauert und sich auf das ganze Jahr be-zieht waumlhrend letztere sich auf temporaumlre Aumlnderungen beziehen Auch ist bei der sicherheitstechnischen Bewertung ereignis- bzw anlassbezogener Fragestellungen im Allgemeinen der zugrunde zu legende Zeit-raum eingrenzbar Bei probabilistischen Untersuchungen von ereignis- bzw anlassbezogenen Fragestellungen ist weiter zu dif-ferenzieren zwischen aufgetretenen Ereignissen und der Bewertung von Strategien bei mehreren zulaumlssigen Varianten Deshalb sind insbesondere bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen fuumlr ereignis- bzw anlassbezogenen Fragestellungen zeitabhaumlngige Analysen durchzufuumlhren welche die temporaumlren Aumln-derungen in den jeweiligen Zeitraumlumen zutreffend in den Modellierungen beruumlcksichtigen

5 VORGEHEN BEI DER BEWERTUNG Die probabilistische Bewertung der zu untersuchenden Fragestellung ist fallbezogen unter Beruumlcksichtigung der Unsicherheiten fuumlr die verschiedenen Ebenen der Modellierung der probabilistischen Untersuchungen durchzufuumlhren z B fuumlr Zuverlaumlssigkeitskenngroumlszligen Basisereignisse Fehlerbaumlume Systemfunktionen Si-cherheitsfunktionen Ereignisablaufsequenzen ausloumlsende Ereignisse und das Gesamtergebnis vgl auch Abschnitt 4 Daruumlber hinaus liefern die qualitativen Ergebnisse der anlagenspezifischen PSA ergaumlnzende Informationen und systematische Erkenntnisse Dafuumlr koumlnnen die Minimalschnitte der einzelnen Ereignisablaufsequenzen im Hinblick auf ihre Zusammensetzung ihre Beitraumlge sowie ihre jeweiligen Unsicherheiten analysiert wer-den Bei der Analyse und Bewertung der Minimalschnitte sollten administrative Regelungen oder Personal-handlungen besonders beachtet werden insbesondere solche die gewisse Schwaumlchen in der Anlagenaus-legung kompensieren sollen

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 9: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

8

ABKUumlRZUNGSVERZEICHNIS

A

AtG Atomgesetz

B

BE Brennelement Basisereignis BHB Betriebshandbuch BMUB Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit

D

DAF sekundaumlrseitiger Druckabfall (Reaktorschutzsignal) DH Druckhalter

E

EDW Explosionsdruckwelle

F

FAK PSA Facharbeitskreis probabilistische Sicherheitsanalyse FD Frischdampf FLAB Flugzeugabsturz

G

GVA Gemeinsam verursachter Ausfall

H

HGZ Haumlufigkeit von Gefaumlhrdungszustaumlnden

I

IAEA International Atomic Energy Agency

K

KKW Kernkraftwerk

M

ME Meldepflichtiges Ereignis

N

NLB Nichtleistungsbetrieb NHB Notfallhandbuch

P

PKL Primaumlrkreislauf PSA Probabilistische Sicherheitsanalyse PSF Performance Shaping Factor PSUuml Periodische Sicherheitsuumlberpruumlfung vgl SUuml

R

RESA Reaktorschnellabschaltung RSK Reaktorsicherheitskommission RSP Risk Spectrum (Software)

9

S

sbR schriftliche betriebliche Regelung SUuml Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a AtG SWR Siedewasserreaktor

T

TUSA Turbinenschnellabschaltung

W

WKP Wiederkehrende Pruumlfung

10

11

VORWORT

Fuumlr die deutschen Kernkraftwerke sind in der Vergangenheit probabilistische Sicherheitsanalysen im Rah-men der Sicherheitsuumlberpruumlfung (SUuml) nach sect 19a AtG auf der Basis des Leitfadens Probabilistische Sicher-heitsanalyse BA 05 durchgefuumlhrt worden Die im November 2012 verabschiedeten Sicherheitsanforderungen an Kernkraftwerke BA 15 fordern in 5 (5b) bdquoIn Ergaumlnzung der deterministischen Nachweisfuumlhrungen muumlssen probabilistische Sicherheitsanalysen zu-dem durchgefuumlhrt werden um die sicherheitstechnische Relevanz bull von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie bull von Erkenntnissen die aus aufgetretenen sicherheitsrelevanten Ereignissen oder Phaumlnomenen bekannt

geworden sind und deren Uumlbertragbarkeit auf die im Anwendungsbereich der bdquoSicherheitsanforderungen an KKWldquo benannten Kernkraftwerke in Deutschland gegeben ist

bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist zu bewertenldquo

Hierdurch gibt es im deutschen kerntechnischen Regelwerk die Anforderung sicherheitstechnische Frage-stellungen auszligerhalb der SUuml probabilistisch zu bewerten Daher wurde der FAK PSA vom BMUB beauftragt einen sich aus diesen Anforderungen ergebenden methodischen Ergaumlnzungsbedarf zu identifizieren und entsprechende methodische Hilfestellungen zu erarbeiten Mit dieser Anwendungsunterlage legt der FAK PSA seine Beratungsergebnisse vor Hierin wird ein grund-saumltzlicher methodischer Rahmen zur Einbeziehung probabilistischer Methoden bei der Bewertung sicher-heitstechnisch relevanter Fragestellungen auszligerhalb der SUuml vorgeschlagen Es werden keine Aussagen uumlber aufsichtliche Aspekte bezuumlglich der Erfuumlllung der oben genannten Anforderungen in atomrechtlichen Verfahren gemacht Eine Reihe von konkreten Beispielen aus der Praxis dokumentiert daruumlber hinaus einen Teil der in Deutsch-land auf diesem Gebiet bereits gemachten Erfahrungen und illustriert das vorgeschlagene Vorgehen

12

13

1 ZIELSETZUNGEN PROBABILISTISCHER BEWERTUNGEN AUSSERHALB DER SUuml Probabilistische Untersuchungen zur gesamtheitlichen Bewertung konkreter sicherheitstechnischer Frage-stellungen auszligerhalb der SUuml koumlnnen durchgefuumlhrt werden um ergaumlnzend zur deterministischen Nachweis-fuumlhrung zusaumltzliche Erkenntnisse mit diesem im Vergleich zu einer deterministischen Vorgehensweise me-thodisch anderen Ansatz zu gewinnen Damit koumlnnen gegebenenfalls zusaumltzliche sicherheitsrelevante Er-kenntnisse zur Unterstuumltzung von Entscheidungsprozessen identifiziert und bewertet werden

2 ANWENDUNGSGEBIETE 21 ALLGEMEINES Uumlber die Nutzung probabilistischer Untersuchungen in den wiederkehrenden SUuml hinaus koumlnnen probabilisti-sche Untersuchungen in folgenden Anwendungsgebieten zum Einsatz kommen bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Mit einer probabilistischen Bewertung kann ihre sicherheitstechnische Relevanz gezeigt werden d h welche Auswirkung die jeweilige Aumlnderung auf das Sicherheitsniveau einer Anlage hat

bull Ereignisse oder Anlaumlsse aus dem Betrieb der Anlage d h Erkenntnisse die aus aufgetretenen sicher-heitsrelevanten Ereignissen oder Phaumlnomenen bekannt geworden sind Diese koumlnnen sich z B auf Mel-depflichtige Ereignisse (ME) Stoumlrungen betriebliche Ausfaumllle Instandsetzungszeiten festzulegende Strategien bei mehreren zulaumlssigen Varianten oder temporaumlre Modifikationen von Hardware-Konfigurati-onen beziehen Die Anwendung probabilistischer Methoden bei derartigen ereignis- bzw anlassbezogenen Fragestellun-gen zielt ebenfalls auf die sicherheitstechnische Bewertung der Auswirkungen auf das Sicherheitsni-veau d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung ab (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strategien)

Die unterschiedlichen Anwendungsgebiete sind in den Abschnitten 22 und 3 charakterisiert

22 VORGEHENSWEISE Es soll die Frage beantwortet werden ob bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage oder bull zu bewertende ereignis- bzw anlassbezogene Fragestellungen einen nennenswerten Einfluss auf die Ergebnisse der PSA erwarten lassen Dies erfordert nicht immer die Durchfuumlhrung von umfangreichen probabilistischen Bewertungen Daher wird hierfuumlr ein gestaffeltes Verfah-ren vorgeschlagen (vgl Screening-Prozess in Abschnitt 3) um nachvollziehbar einordnen und festlegen zu koumlnnen ob derartige ergaumlnzende probabilistische Bewertungen durchzufuumlhren sind Ein zu erwartender Einfluss kann dahingehend bewertet werden in welchem Umfang er eine Veraumlnderung des probabilistischen Ergebnisses zur Folge hat und wie sich diese Aumlnderung gegenuumlber Orientierungswer-ten (vgl Angaben in der RSK-Stellungnahme aus der 460 Sitzung bdquoRSK-Verstaumlndnis der Sicherheitsphiloso-phie RSK 13) darstellt Was ein bdquonennenswerter Einflussldquo ist sollte im Einzelfall begruumlndet werden In einem ersten Schritt ist es oft ausreichend mit Hilfe eines Fragebogens (wie z B in Anhang 1) und ver-einfachten Methoden Bewertungen vorzunehmen Im Rahmen der Anwendung probabilistischer Methoden kann gegebenenfalls in einem zweiten Schritt zur Feststellung der moumlglichen Auswirkungen der betrachteten sicherheitstechnischen Fragestellung auf die PSA-Modellierung eine detaillierte Fragenliste (vgl Anhang 2) als systematisches Hilfsmittel herangezogen werden Dabei ist zu beachten dass die Auswirkungen z T direkt analysiert werden koumlnnen z T jedoch nur indirekt feststell- und bewertbar sind (z B ob das Ausfallverhalten einer passiven Komponente die von der sicherheitstechnischen Fragestellung betroffen ist weiterhin als numerisch vernachlaumlssigbar gegenuumlber dem Ausfallverhalten aktiver Komponenten angenommen werden kann)

14

Als Ergebnis dieser Untersuchung bull kann der Teil der PSA-Modellierung identifiziert werden der von der sicherheitstechnischen Fragestel-

lung betroffen ist bull koumlnnen die Teile der PSA festgestellt werden die modifiziert werden sollten bull koumlnnen die Analysen identifiziert werden die zur ergaumlnzenden probabilistischen Bewertung der sicher-

heitstechnischen Fragestellung durchgefuumlhrt werden sollten

Auszligerdem koumlnnen anhand dieser Untersuchung der Umfang und die Tiefe der notwendigen Analysen ermit-telt werden Im Hinblick auf den Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifischen PSA die derzeit be-stimmte Bereiche nicht enthalten ist zunaumlchst qualitativ zu untersuchen (vgl Anhang 2) ob die sicherheits-technische Fragestellung diese nicht analysierten Bereiche beeinflusst Ist das der Fall sind danach abde-ckende auch qualitative Betrachtungen oder gegebenenfalls Sensitivitaumltsuntersuchungen durchzufuumlhren (vgl Anhang 4) wobei auch deterministische Zuverlaumlssigkeitsprinzipien wie die Bewertung von z B Redun-danz Diversitaumlt oder vorgesehenen Maszlignahmen fuumlr die nicht analysierten Bereiche herangezogen werden koumlnnen Wichtig ist dass auf diesen Aspekt eingegangen wird und nicht der moumlglicherweise unzutreffende Ruumlckschluss gezogen wird dass Auswirkungen sicherheitstechnischer Fragestellungen nicht risikorelevant seien weil sie in den anlagenspezifischen PSA derzeit nicht analysierte Bereiche beeinflussen Zur Bewertung der Auswirkungen der sicherheitstechnischen Fragestellung kann es notwendig sein den De-taillierungsgrad d h Modellierungstiefe und -umfang der anlagenspezifischen PSA zu vergroumlszligern oder zu ergaumlnzen (z B modulare Darstellung leittechnischer Systemfunktionen Beruumlcksichtigung passiver Kompo-nenten) Die Modifikationen koumlnnen entweder im PSA-Modell selbst erfolgen oder moumlgliche Auswirkungen koumlnnen durch Sensitivitaumltsanalysen eingegrenzt oder durch qualitative Betrachtungen bewertet werden Nachdem die moumlglichen Auswirkungen der sicherheitstechnischen Fragestellungen auf die PSA-Modellie-rung ermittelt worden sind sind gegebenenfalls die entsprechenden Modifikationen in der Modellierung der zugrundeliegenden PSA die als Ausgangsbasis herangezogen wird durchzufuumlhren und zu dokumentieren Fuumlr eine effiziente Abwicklung sollten Prozeduren unter Einbeziehung notwendiger Gesichtspunkte der Qua-litaumltssicherung Anwendung finden vgl z B Anhang 3

15

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS Ein Screening-Prozess sollte fuumlr die in Abschnitt 2 genannten Anwendungsgebiete durchgefuumlhrt werden

31 AumlNDERUNGSMAszligNAHMEN Fuumlr Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage nachfolgend kurz Aumlnde-rungsmaszlignahmen genannt sollte eine Einordnung in drei Kategorien vorgenommen werden die den zu er-wartenden Einfluss auf die PSA angeben Diese Kategorien sind in Tabelle 1 und Abbildung 1 definiert sie werden mit a b und c bezeichnet Von Aumlnderungsmaszlignahmen der Kategorie a wird kein Einfluss auf die PSA erwartet Kriterien nach denen eine Zuordnung zur Kategorie a vorgenommen werden kann sind bull Es werden Komponenten oder Teile davon gegen gleichwertige ausgetauscht In diesem Fall sind in der

PSA die gleichen Zuverlaumlssigkeitskenngroumlszligen zu verwenden wie bisher und das Ergebnis kann sich nicht aumlndern Dies gilt nicht wenn sich der Komponententyp aumlndert z B Ersetzung einer Klappe durch einen Schieber

bull Es handelt sich um eine Reparaturmaszlignahme bei der der Sollzustand wieder hergestellt wird bull Es handelt sich um eine Ersatzteilbeschaffung bull Es handelt sich um Brennelement-Antransport -Abtransport oder -Einlagerung bull Es handelt sich um eine Aumlnderung der Dokumentation Eine gegebenenfalls zugrunde liegende Anla-

genaumlnderung ist dagegen zu betrachten

Im Weiteren koumlnnen zur Unterstuumltzung und nachvollziehbaren Dokumentation der Zuordnung zu den Kate-gorien die 14 Fragen gemaumlszlig Anhang 1 herangezogen werden Von Aumlnderungsmaszlignahmen der Kategorie b wird zwar grundsaumltzlich ein Einfluss auf die PSA erwartet aller-dings kein nennenswerter Einfluss auf ihre Ergebnisse (weder direkt noch indirekt vgl Abschnitt 22) Hier-von betroffen sind auch die Bereiche die auszligerhalb des Umfangs der als Ausgangsbasis verfuumlgbaren anla-genspezifischen PSA liegen Eine eventuelle Aktualisierung der PSA als Konsequenz von Aumlnderungsmaszlig-nahmen der Kategorie b d h die Integration der durchgefuumlhrten Aumlnderungen in das PSA-Modell sollte tur-nusgemaumlszlig erfolgen (Zeitraum kuumlrzer als SUuml-Zyklus vgl Abschnitt 5)

16

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme

17

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung

Kategorie Einfluss auf die PSA er-wartet

Nennenswer-ter Einfluss auf die Ergeb-nisse der PSA

Probabilistische Bewertung bei Abwicklung der Aumlnderung

Modellierung Aktualisierung PSA

Anmerkungen

a nein nein nein nein

b ja nein weder direkt noch indirekt

nein zu gegebener Zeit In-tegration der Erkennt-nisse aus der Aumlnde-rungsmaszlignahme in die PSA-Modellierung

gegebenenfalls spaumltere bzw zusammenfas-sende Bewertung der Aumlnderungsmaszlig-nahme u U Vorschlaumlge fuumlr Modifikationen im PSA-Modell (vergleichbar betriebsbeglei-tender Pruumlfung)

c ja ja direkt oder indi-rekt

ja in Ergaumlnzung zur deterministischen Bewertung

zeitgleiche zeitnahe Modellierung Aktuali-sierung der PSA-Model-lierung

unmittelbare Ruumlckkopplung zur Aumlnderungs-maszlignahme Voraussetzung konkrete Infor-mationen liegen vor (gegebenenfalls Ergaumln-zung bezuumlglich bisherigem Stand)

18

Eine nachtraumlgliche zusammenfassende probabilistische Bewertung mehrerer realisierter Aumlnderungsmaszlignah-men kann ergaumlnzend durchgefuumlhrt werden Fuumlr realisierte Aumlnderungsmaszlignahmen der Kategorie b wuumlrden sich dadurch u U ndash vergleichbar einer betriebsbegleitenden Pruumlfung und Kontrolle in anderen Bereichen oder der bisherigen Sicherheitsuumlberpruumlfung ndash Vorschlaumlge fuumlr Modifikationen im PSA-Modell ergeben Aumlnderungsmaszlignahmen bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist (Kategorie c) sollen einer probabilistischen Bewertung unterzogen werden Bei diesen Aumlnderungsmaszlignah-men empfiehlt sich eine zeitnahe Aktualisierung der PSA Unter Umstaumlnden ergibt sich fuumlr die probabilisti-sche Bewertung die Veranlassung von Parameter- bzw Sensitivitaumltsstudien wie es z B fuumlr probabilistische Bewertungen vor Genehmigung und Errichtung einer Anlage international uumlblich ist

32 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Fuumlr die zu treffende Entscheidung ob bei konkreten ereignis- bzw anlassbezogenen Fragestellungen proba-bilistische Untersuchungen durchzufuumlhren sind kann in Anlehnung an die beschriebene Vorgehensweise fuumlr die Kategorisierung von Aumlnderungsmaszlignahmen vorgegangen werden Die entsprechenden Kategorien fuumlr ereignis- bzw anlassbezogene Fragestellungen werden im Folgenden mit α β und γ bezeichnet Zur Unter-stuumltzung und nachvollziehbaren Dokumentation koumlnnen ebenfalls die 14 Fragen gemaumlszlig Anhang 1 herange-zogen werden d h es wird uumlberlegt und abgefragt ob z B ein aufgetretenes meldepflichtiges Ereignis Auswirkungen auf das bisherige Spektrum ausloumlsender Ereignisse auf die zugrunde gelegten Wirksamkeits-bedingungen auf die angenommenen Ereignisablaufsequenzen usw haben kann Probabilistische Untersu-chungen derartiger ereignis- bzw anlassbezogener Fragestellungen zielen ebenfalls auf die sicherheitstech-nische Bewertung der Auswirkungen auf das Sicherheitsniveau ab d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strate-gien) Insofern ist die Kategorie α vergleichbar der Kategorie a im Falle von Aumlnderungsmaszlignahmen d h es wird kein Einfluss auf die PSA der Anlage erwartet Wenn von einer ereignis- bzw anlassbezogenen Fragestellung keine nennenswerte Auswirkung auf die je-weils vorliegende PSA erwartet wird faumlllt diese in die Kategorie β Eine eventuelle Aktualisierung der PSA entfaumlllt aufgrund der zeitlichen Beschraumlnkung des Ereignisses bzw des Anlasses vgl auch Abschnitt 52 Fuumlr die Faumllle bei denen fuumlr eine ereignis- bzw anlassbezogene Fragestellung eine nennenswerte Auswir-kung auf die Ergebnisse der vorliegende PSA zu erwarten ist soll in Ergaumlnzung der deterministischen Be-wertung auch eine probabilistische Bewertung durchgefuumlhrt werden Hierbei ist zu beachten dass spezifi-sche Randbedingungen von denen der vorliegenden PSA abweichen koumlnnen Beispiele fuumlr diese Randbe-dingungen sind unter anderem (vgl ENSI 15) bull Die Dauer der Nichtverfuumlgbarkeit einer Komponente bull die der ereignis- bzw anlassbezogenen Fragestellung zugeordnete Anlagenkonfiguration wie zum Bei-

spiel keine weitere Nichtverfuumlgbarkeit aufgrund vorgezogener Instandhaltung oder kompensatorischer Maszlignahmen

bull die aktuell vorliegenden Systemschaltungen die zB eine veraumlnderte Verfuumlgbarkeit eines Systems be-deuten

bull die eventuelle Uumlbertragbarkeit des Anlasses auf weitere Komponenten zB Neubewertung der Verfuumlg-barkeit

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN Die Methoden Vorgehensweisen und Randbedingungen zur Erstellung probabilistischer Analysen im Rah-men der SUuml sind in dem PSA-Leitfaden BA 05 bzw in den zugehoumlrigen Methoden- und Datenbaumlnden METH 05 DAT 05 festgelegt (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) und im Grundsatz auch fuumlr die sicherheitstechnische Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen soweit moumlg-lich und sinnvoll anzuwenden Um die sicherheitstechnisch relevanten Fragestellungen beantworten zu koumln-nen ist es jedoch moumlglicherweise erforderlich detaillierter und realistischer zu modellieren Generell sind die probabilistischen Untersuchungen nur dort anzuwenden wo der Stand der Methodik und die verfuumlgbaren Daten dies erlauben Bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen sind Vorgehen Umfang und Detaillierungsgrad fallbezogen anzupassen Ein solcher gestaffelter Bewertungsansatz wird auch in IAEA GSR Part 4 Kap 3 IAEA 16 beschrieben

19

Im Falle einer detaillierten probabilistischen Bewertung ist eine wesentliche Randbedingung dass die fuumlr probabilistische Untersuchungen verwendeten Modellierungen und Zuverlaumlssigkeitskenngroumlszligen dem aktuel-len Anlagenzustand entsprechen Konkrete Beispiele zur Durchfuumlhrung solcher probabilistischer Untersuchungen sind in Anhang 5 aufgefuumlhrt Moumlgliche Auswirkungen (direkte und indirekte) der zu untersuchenden Fragestellung auf die Modellierung der probabilistischen Untersuchungen sind festzustellen und nachvollziehbar zu dokumentieren Sind von der zu untersuchenden Fragestellung zusaumltzlich nicht analysierte Bereiche bezuumlglich der vorliegenden pro-babilistischen Untersuchungen betroffen ist in geeigneter Weise auf diesen Aspekt einzugehen (vgl auch Abschnitt 32) Fuumlr alle Zustaumlnde (z B vor und nach einer Aumlnderung oder mehrere geplante Strategien) sind abhaumlngig von der zu untersuchenden Fragestellung nachvollziehbare quantitative und qualitative Daten und Informationen bereitzustellen Abhaumlngig von den relevanten Analysesachverhalten betrifft dies z B folgende Daten bzw Informationen bull Zuverlaumlssigkeitskenngroumlszligen bull Nichtverfuumlgbarkeiten und Unsicherheiten von Basisereignissen Fehlerbaumlumen Systemfunktionen Si-

cherheitsfunktionen bull Eintrittshaumlufigkeiten von Ereignisablaufsequenzen ausloumlsenden Ereignissen oder Endzustaumlnden bull Gesamtergebnis (z B Haumlufigkeit von Brennstabschadenszustaumlnden) und bull Importanz und Sensitivitaumlt von Zuverlaumlssigkeitskenngroumlszligen Basisereignissen und -gruppen sowie bull Modellierung des Ausfallverhaltens bull Beruumlcksichtigung und Modellierung von gemeinsam verursachten Ausfaumlllen bull Beruumlcksichtigung und Modellierung von Personalhandlungen bull Beruumlcksichtigung und Bewertung von Unsicherheiten bull Zusammensetzung von Minimalschnitten bull Bewertung von Ereignisablaufsequenzen hinsichtlich ihrer Endzustaumlnde sowie der Uumlbergaumlnge aus rele-

vanten Zwischenzustaumlnden

Ein grundlegender Unterschied bei der sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen im Vergleich zu ereignis- bzw anlassbezogenen Fragestellungen besteht darin dass sich erstere im Allgemei-nen auf eine Aumlnderung des Zustands der Anlage beziehen der andauert und sich auf das ganze Jahr be-zieht waumlhrend letztere sich auf temporaumlre Aumlnderungen beziehen Auch ist bei der sicherheitstechnischen Bewertung ereignis- bzw anlassbezogener Fragestellungen im Allgemeinen der zugrunde zu legende Zeit-raum eingrenzbar Bei probabilistischen Untersuchungen von ereignis- bzw anlassbezogenen Fragestellungen ist weiter zu dif-ferenzieren zwischen aufgetretenen Ereignissen und der Bewertung von Strategien bei mehreren zulaumlssigen Varianten Deshalb sind insbesondere bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen fuumlr ereignis- bzw anlassbezogenen Fragestellungen zeitabhaumlngige Analysen durchzufuumlhren welche die temporaumlren Aumln-derungen in den jeweiligen Zeitraumlumen zutreffend in den Modellierungen beruumlcksichtigen

5 VORGEHEN BEI DER BEWERTUNG Die probabilistische Bewertung der zu untersuchenden Fragestellung ist fallbezogen unter Beruumlcksichtigung der Unsicherheiten fuumlr die verschiedenen Ebenen der Modellierung der probabilistischen Untersuchungen durchzufuumlhren z B fuumlr Zuverlaumlssigkeitskenngroumlszligen Basisereignisse Fehlerbaumlume Systemfunktionen Si-cherheitsfunktionen Ereignisablaufsequenzen ausloumlsende Ereignisse und das Gesamtergebnis vgl auch Abschnitt 4 Daruumlber hinaus liefern die qualitativen Ergebnisse der anlagenspezifischen PSA ergaumlnzende Informationen und systematische Erkenntnisse Dafuumlr koumlnnen die Minimalschnitte der einzelnen Ereignisablaufsequenzen im Hinblick auf ihre Zusammensetzung ihre Beitraumlge sowie ihre jeweiligen Unsicherheiten analysiert wer-den Bei der Analyse und Bewertung der Minimalschnitte sollten administrative Regelungen oder Personal-handlungen besonders beachtet werden insbesondere solche die gewisse Schwaumlchen in der Anlagenaus-legung kompensieren sollen

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 10: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

9

S

sbR schriftliche betriebliche Regelung SUuml Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a AtG SWR Siedewasserreaktor

T

TUSA Turbinenschnellabschaltung

W

WKP Wiederkehrende Pruumlfung

10

11

VORWORT

Fuumlr die deutschen Kernkraftwerke sind in der Vergangenheit probabilistische Sicherheitsanalysen im Rah-men der Sicherheitsuumlberpruumlfung (SUuml) nach sect 19a AtG auf der Basis des Leitfadens Probabilistische Sicher-heitsanalyse BA 05 durchgefuumlhrt worden Die im November 2012 verabschiedeten Sicherheitsanforderungen an Kernkraftwerke BA 15 fordern in 5 (5b) bdquoIn Ergaumlnzung der deterministischen Nachweisfuumlhrungen muumlssen probabilistische Sicherheitsanalysen zu-dem durchgefuumlhrt werden um die sicherheitstechnische Relevanz bull von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie bull von Erkenntnissen die aus aufgetretenen sicherheitsrelevanten Ereignissen oder Phaumlnomenen bekannt

geworden sind und deren Uumlbertragbarkeit auf die im Anwendungsbereich der bdquoSicherheitsanforderungen an KKWldquo benannten Kernkraftwerke in Deutschland gegeben ist

bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist zu bewertenldquo

Hierdurch gibt es im deutschen kerntechnischen Regelwerk die Anforderung sicherheitstechnische Frage-stellungen auszligerhalb der SUuml probabilistisch zu bewerten Daher wurde der FAK PSA vom BMUB beauftragt einen sich aus diesen Anforderungen ergebenden methodischen Ergaumlnzungsbedarf zu identifizieren und entsprechende methodische Hilfestellungen zu erarbeiten Mit dieser Anwendungsunterlage legt der FAK PSA seine Beratungsergebnisse vor Hierin wird ein grund-saumltzlicher methodischer Rahmen zur Einbeziehung probabilistischer Methoden bei der Bewertung sicher-heitstechnisch relevanter Fragestellungen auszligerhalb der SUuml vorgeschlagen Es werden keine Aussagen uumlber aufsichtliche Aspekte bezuumlglich der Erfuumlllung der oben genannten Anforderungen in atomrechtlichen Verfahren gemacht Eine Reihe von konkreten Beispielen aus der Praxis dokumentiert daruumlber hinaus einen Teil der in Deutsch-land auf diesem Gebiet bereits gemachten Erfahrungen und illustriert das vorgeschlagene Vorgehen

12

13

1 ZIELSETZUNGEN PROBABILISTISCHER BEWERTUNGEN AUSSERHALB DER SUuml Probabilistische Untersuchungen zur gesamtheitlichen Bewertung konkreter sicherheitstechnischer Frage-stellungen auszligerhalb der SUuml koumlnnen durchgefuumlhrt werden um ergaumlnzend zur deterministischen Nachweis-fuumlhrung zusaumltzliche Erkenntnisse mit diesem im Vergleich zu einer deterministischen Vorgehensweise me-thodisch anderen Ansatz zu gewinnen Damit koumlnnen gegebenenfalls zusaumltzliche sicherheitsrelevante Er-kenntnisse zur Unterstuumltzung von Entscheidungsprozessen identifiziert und bewertet werden

2 ANWENDUNGSGEBIETE 21 ALLGEMEINES Uumlber die Nutzung probabilistischer Untersuchungen in den wiederkehrenden SUuml hinaus koumlnnen probabilisti-sche Untersuchungen in folgenden Anwendungsgebieten zum Einsatz kommen bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Mit einer probabilistischen Bewertung kann ihre sicherheitstechnische Relevanz gezeigt werden d h welche Auswirkung die jeweilige Aumlnderung auf das Sicherheitsniveau einer Anlage hat

bull Ereignisse oder Anlaumlsse aus dem Betrieb der Anlage d h Erkenntnisse die aus aufgetretenen sicher-heitsrelevanten Ereignissen oder Phaumlnomenen bekannt geworden sind Diese koumlnnen sich z B auf Mel-depflichtige Ereignisse (ME) Stoumlrungen betriebliche Ausfaumllle Instandsetzungszeiten festzulegende Strategien bei mehreren zulaumlssigen Varianten oder temporaumlre Modifikationen von Hardware-Konfigurati-onen beziehen Die Anwendung probabilistischer Methoden bei derartigen ereignis- bzw anlassbezogenen Fragestellun-gen zielt ebenfalls auf die sicherheitstechnische Bewertung der Auswirkungen auf das Sicherheitsni-veau d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung ab (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strategien)

Die unterschiedlichen Anwendungsgebiete sind in den Abschnitten 22 und 3 charakterisiert

22 VORGEHENSWEISE Es soll die Frage beantwortet werden ob bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage oder bull zu bewertende ereignis- bzw anlassbezogene Fragestellungen einen nennenswerten Einfluss auf die Ergebnisse der PSA erwarten lassen Dies erfordert nicht immer die Durchfuumlhrung von umfangreichen probabilistischen Bewertungen Daher wird hierfuumlr ein gestaffeltes Verfah-ren vorgeschlagen (vgl Screening-Prozess in Abschnitt 3) um nachvollziehbar einordnen und festlegen zu koumlnnen ob derartige ergaumlnzende probabilistische Bewertungen durchzufuumlhren sind Ein zu erwartender Einfluss kann dahingehend bewertet werden in welchem Umfang er eine Veraumlnderung des probabilistischen Ergebnisses zur Folge hat und wie sich diese Aumlnderung gegenuumlber Orientierungswer-ten (vgl Angaben in der RSK-Stellungnahme aus der 460 Sitzung bdquoRSK-Verstaumlndnis der Sicherheitsphiloso-phie RSK 13) darstellt Was ein bdquonennenswerter Einflussldquo ist sollte im Einzelfall begruumlndet werden In einem ersten Schritt ist es oft ausreichend mit Hilfe eines Fragebogens (wie z B in Anhang 1) und ver-einfachten Methoden Bewertungen vorzunehmen Im Rahmen der Anwendung probabilistischer Methoden kann gegebenenfalls in einem zweiten Schritt zur Feststellung der moumlglichen Auswirkungen der betrachteten sicherheitstechnischen Fragestellung auf die PSA-Modellierung eine detaillierte Fragenliste (vgl Anhang 2) als systematisches Hilfsmittel herangezogen werden Dabei ist zu beachten dass die Auswirkungen z T direkt analysiert werden koumlnnen z T jedoch nur indirekt feststell- und bewertbar sind (z B ob das Ausfallverhalten einer passiven Komponente die von der sicherheitstechnischen Fragestellung betroffen ist weiterhin als numerisch vernachlaumlssigbar gegenuumlber dem Ausfallverhalten aktiver Komponenten angenommen werden kann)

14

Als Ergebnis dieser Untersuchung bull kann der Teil der PSA-Modellierung identifiziert werden der von der sicherheitstechnischen Fragestel-

lung betroffen ist bull koumlnnen die Teile der PSA festgestellt werden die modifiziert werden sollten bull koumlnnen die Analysen identifiziert werden die zur ergaumlnzenden probabilistischen Bewertung der sicher-

heitstechnischen Fragestellung durchgefuumlhrt werden sollten

Auszligerdem koumlnnen anhand dieser Untersuchung der Umfang und die Tiefe der notwendigen Analysen ermit-telt werden Im Hinblick auf den Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifischen PSA die derzeit be-stimmte Bereiche nicht enthalten ist zunaumlchst qualitativ zu untersuchen (vgl Anhang 2) ob die sicherheits-technische Fragestellung diese nicht analysierten Bereiche beeinflusst Ist das der Fall sind danach abde-ckende auch qualitative Betrachtungen oder gegebenenfalls Sensitivitaumltsuntersuchungen durchzufuumlhren (vgl Anhang 4) wobei auch deterministische Zuverlaumlssigkeitsprinzipien wie die Bewertung von z B Redun-danz Diversitaumlt oder vorgesehenen Maszlignahmen fuumlr die nicht analysierten Bereiche herangezogen werden koumlnnen Wichtig ist dass auf diesen Aspekt eingegangen wird und nicht der moumlglicherweise unzutreffende Ruumlckschluss gezogen wird dass Auswirkungen sicherheitstechnischer Fragestellungen nicht risikorelevant seien weil sie in den anlagenspezifischen PSA derzeit nicht analysierte Bereiche beeinflussen Zur Bewertung der Auswirkungen der sicherheitstechnischen Fragestellung kann es notwendig sein den De-taillierungsgrad d h Modellierungstiefe und -umfang der anlagenspezifischen PSA zu vergroumlszligern oder zu ergaumlnzen (z B modulare Darstellung leittechnischer Systemfunktionen Beruumlcksichtigung passiver Kompo-nenten) Die Modifikationen koumlnnen entweder im PSA-Modell selbst erfolgen oder moumlgliche Auswirkungen koumlnnen durch Sensitivitaumltsanalysen eingegrenzt oder durch qualitative Betrachtungen bewertet werden Nachdem die moumlglichen Auswirkungen der sicherheitstechnischen Fragestellungen auf die PSA-Modellie-rung ermittelt worden sind sind gegebenenfalls die entsprechenden Modifikationen in der Modellierung der zugrundeliegenden PSA die als Ausgangsbasis herangezogen wird durchzufuumlhren und zu dokumentieren Fuumlr eine effiziente Abwicklung sollten Prozeduren unter Einbeziehung notwendiger Gesichtspunkte der Qua-litaumltssicherung Anwendung finden vgl z B Anhang 3

15

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS Ein Screening-Prozess sollte fuumlr die in Abschnitt 2 genannten Anwendungsgebiete durchgefuumlhrt werden

31 AumlNDERUNGSMAszligNAHMEN Fuumlr Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage nachfolgend kurz Aumlnde-rungsmaszlignahmen genannt sollte eine Einordnung in drei Kategorien vorgenommen werden die den zu er-wartenden Einfluss auf die PSA angeben Diese Kategorien sind in Tabelle 1 und Abbildung 1 definiert sie werden mit a b und c bezeichnet Von Aumlnderungsmaszlignahmen der Kategorie a wird kein Einfluss auf die PSA erwartet Kriterien nach denen eine Zuordnung zur Kategorie a vorgenommen werden kann sind bull Es werden Komponenten oder Teile davon gegen gleichwertige ausgetauscht In diesem Fall sind in der

PSA die gleichen Zuverlaumlssigkeitskenngroumlszligen zu verwenden wie bisher und das Ergebnis kann sich nicht aumlndern Dies gilt nicht wenn sich der Komponententyp aumlndert z B Ersetzung einer Klappe durch einen Schieber

bull Es handelt sich um eine Reparaturmaszlignahme bei der der Sollzustand wieder hergestellt wird bull Es handelt sich um eine Ersatzteilbeschaffung bull Es handelt sich um Brennelement-Antransport -Abtransport oder -Einlagerung bull Es handelt sich um eine Aumlnderung der Dokumentation Eine gegebenenfalls zugrunde liegende Anla-

genaumlnderung ist dagegen zu betrachten

Im Weiteren koumlnnen zur Unterstuumltzung und nachvollziehbaren Dokumentation der Zuordnung zu den Kate-gorien die 14 Fragen gemaumlszlig Anhang 1 herangezogen werden Von Aumlnderungsmaszlignahmen der Kategorie b wird zwar grundsaumltzlich ein Einfluss auf die PSA erwartet aller-dings kein nennenswerter Einfluss auf ihre Ergebnisse (weder direkt noch indirekt vgl Abschnitt 22) Hier-von betroffen sind auch die Bereiche die auszligerhalb des Umfangs der als Ausgangsbasis verfuumlgbaren anla-genspezifischen PSA liegen Eine eventuelle Aktualisierung der PSA als Konsequenz von Aumlnderungsmaszlig-nahmen der Kategorie b d h die Integration der durchgefuumlhrten Aumlnderungen in das PSA-Modell sollte tur-nusgemaumlszlig erfolgen (Zeitraum kuumlrzer als SUuml-Zyklus vgl Abschnitt 5)

16

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme

17

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung

Kategorie Einfluss auf die PSA er-wartet

Nennenswer-ter Einfluss auf die Ergeb-nisse der PSA

Probabilistische Bewertung bei Abwicklung der Aumlnderung

Modellierung Aktualisierung PSA

Anmerkungen

a nein nein nein nein

b ja nein weder direkt noch indirekt

nein zu gegebener Zeit In-tegration der Erkennt-nisse aus der Aumlnde-rungsmaszlignahme in die PSA-Modellierung

gegebenenfalls spaumltere bzw zusammenfas-sende Bewertung der Aumlnderungsmaszlig-nahme u U Vorschlaumlge fuumlr Modifikationen im PSA-Modell (vergleichbar betriebsbeglei-tender Pruumlfung)

c ja ja direkt oder indi-rekt

ja in Ergaumlnzung zur deterministischen Bewertung

zeitgleiche zeitnahe Modellierung Aktuali-sierung der PSA-Model-lierung

unmittelbare Ruumlckkopplung zur Aumlnderungs-maszlignahme Voraussetzung konkrete Infor-mationen liegen vor (gegebenenfalls Ergaumln-zung bezuumlglich bisherigem Stand)

18

Eine nachtraumlgliche zusammenfassende probabilistische Bewertung mehrerer realisierter Aumlnderungsmaszlignah-men kann ergaumlnzend durchgefuumlhrt werden Fuumlr realisierte Aumlnderungsmaszlignahmen der Kategorie b wuumlrden sich dadurch u U ndash vergleichbar einer betriebsbegleitenden Pruumlfung und Kontrolle in anderen Bereichen oder der bisherigen Sicherheitsuumlberpruumlfung ndash Vorschlaumlge fuumlr Modifikationen im PSA-Modell ergeben Aumlnderungsmaszlignahmen bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist (Kategorie c) sollen einer probabilistischen Bewertung unterzogen werden Bei diesen Aumlnderungsmaszlignah-men empfiehlt sich eine zeitnahe Aktualisierung der PSA Unter Umstaumlnden ergibt sich fuumlr die probabilisti-sche Bewertung die Veranlassung von Parameter- bzw Sensitivitaumltsstudien wie es z B fuumlr probabilistische Bewertungen vor Genehmigung und Errichtung einer Anlage international uumlblich ist

32 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Fuumlr die zu treffende Entscheidung ob bei konkreten ereignis- bzw anlassbezogenen Fragestellungen proba-bilistische Untersuchungen durchzufuumlhren sind kann in Anlehnung an die beschriebene Vorgehensweise fuumlr die Kategorisierung von Aumlnderungsmaszlignahmen vorgegangen werden Die entsprechenden Kategorien fuumlr ereignis- bzw anlassbezogene Fragestellungen werden im Folgenden mit α β und γ bezeichnet Zur Unter-stuumltzung und nachvollziehbaren Dokumentation koumlnnen ebenfalls die 14 Fragen gemaumlszlig Anhang 1 herange-zogen werden d h es wird uumlberlegt und abgefragt ob z B ein aufgetretenes meldepflichtiges Ereignis Auswirkungen auf das bisherige Spektrum ausloumlsender Ereignisse auf die zugrunde gelegten Wirksamkeits-bedingungen auf die angenommenen Ereignisablaufsequenzen usw haben kann Probabilistische Untersu-chungen derartiger ereignis- bzw anlassbezogener Fragestellungen zielen ebenfalls auf die sicherheitstech-nische Bewertung der Auswirkungen auf das Sicherheitsniveau ab d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strate-gien) Insofern ist die Kategorie α vergleichbar der Kategorie a im Falle von Aumlnderungsmaszlignahmen d h es wird kein Einfluss auf die PSA der Anlage erwartet Wenn von einer ereignis- bzw anlassbezogenen Fragestellung keine nennenswerte Auswirkung auf die je-weils vorliegende PSA erwartet wird faumlllt diese in die Kategorie β Eine eventuelle Aktualisierung der PSA entfaumlllt aufgrund der zeitlichen Beschraumlnkung des Ereignisses bzw des Anlasses vgl auch Abschnitt 52 Fuumlr die Faumllle bei denen fuumlr eine ereignis- bzw anlassbezogene Fragestellung eine nennenswerte Auswir-kung auf die Ergebnisse der vorliegende PSA zu erwarten ist soll in Ergaumlnzung der deterministischen Be-wertung auch eine probabilistische Bewertung durchgefuumlhrt werden Hierbei ist zu beachten dass spezifi-sche Randbedingungen von denen der vorliegenden PSA abweichen koumlnnen Beispiele fuumlr diese Randbe-dingungen sind unter anderem (vgl ENSI 15) bull Die Dauer der Nichtverfuumlgbarkeit einer Komponente bull die der ereignis- bzw anlassbezogenen Fragestellung zugeordnete Anlagenkonfiguration wie zum Bei-

spiel keine weitere Nichtverfuumlgbarkeit aufgrund vorgezogener Instandhaltung oder kompensatorischer Maszlignahmen

bull die aktuell vorliegenden Systemschaltungen die zB eine veraumlnderte Verfuumlgbarkeit eines Systems be-deuten

bull die eventuelle Uumlbertragbarkeit des Anlasses auf weitere Komponenten zB Neubewertung der Verfuumlg-barkeit

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN Die Methoden Vorgehensweisen und Randbedingungen zur Erstellung probabilistischer Analysen im Rah-men der SUuml sind in dem PSA-Leitfaden BA 05 bzw in den zugehoumlrigen Methoden- und Datenbaumlnden METH 05 DAT 05 festgelegt (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) und im Grundsatz auch fuumlr die sicherheitstechnische Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen soweit moumlg-lich und sinnvoll anzuwenden Um die sicherheitstechnisch relevanten Fragestellungen beantworten zu koumln-nen ist es jedoch moumlglicherweise erforderlich detaillierter und realistischer zu modellieren Generell sind die probabilistischen Untersuchungen nur dort anzuwenden wo der Stand der Methodik und die verfuumlgbaren Daten dies erlauben Bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen sind Vorgehen Umfang und Detaillierungsgrad fallbezogen anzupassen Ein solcher gestaffelter Bewertungsansatz wird auch in IAEA GSR Part 4 Kap 3 IAEA 16 beschrieben

19

Im Falle einer detaillierten probabilistischen Bewertung ist eine wesentliche Randbedingung dass die fuumlr probabilistische Untersuchungen verwendeten Modellierungen und Zuverlaumlssigkeitskenngroumlszligen dem aktuel-len Anlagenzustand entsprechen Konkrete Beispiele zur Durchfuumlhrung solcher probabilistischer Untersuchungen sind in Anhang 5 aufgefuumlhrt Moumlgliche Auswirkungen (direkte und indirekte) der zu untersuchenden Fragestellung auf die Modellierung der probabilistischen Untersuchungen sind festzustellen und nachvollziehbar zu dokumentieren Sind von der zu untersuchenden Fragestellung zusaumltzlich nicht analysierte Bereiche bezuumlglich der vorliegenden pro-babilistischen Untersuchungen betroffen ist in geeigneter Weise auf diesen Aspekt einzugehen (vgl auch Abschnitt 32) Fuumlr alle Zustaumlnde (z B vor und nach einer Aumlnderung oder mehrere geplante Strategien) sind abhaumlngig von der zu untersuchenden Fragestellung nachvollziehbare quantitative und qualitative Daten und Informationen bereitzustellen Abhaumlngig von den relevanten Analysesachverhalten betrifft dies z B folgende Daten bzw Informationen bull Zuverlaumlssigkeitskenngroumlszligen bull Nichtverfuumlgbarkeiten und Unsicherheiten von Basisereignissen Fehlerbaumlumen Systemfunktionen Si-

cherheitsfunktionen bull Eintrittshaumlufigkeiten von Ereignisablaufsequenzen ausloumlsenden Ereignissen oder Endzustaumlnden bull Gesamtergebnis (z B Haumlufigkeit von Brennstabschadenszustaumlnden) und bull Importanz und Sensitivitaumlt von Zuverlaumlssigkeitskenngroumlszligen Basisereignissen und -gruppen sowie bull Modellierung des Ausfallverhaltens bull Beruumlcksichtigung und Modellierung von gemeinsam verursachten Ausfaumlllen bull Beruumlcksichtigung und Modellierung von Personalhandlungen bull Beruumlcksichtigung und Bewertung von Unsicherheiten bull Zusammensetzung von Minimalschnitten bull Bewertung von Ereignisablaufsequenzen hinsichtlich ihrer Endzustaumlnde sowie der Uumlbergaumlnge aus rele-

vanten Zwischenzustaumlnden

Ein grundlegender Unterschied bei der sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen im Vergleich zu ereignis- bzw anlassbezogenen Fragestellungen besteht darin dass sich erstere im Allgemei-nen auf eine Aumlnderung des Zustands der Anlage beziehen der andauert und sich auf das ganze Jahr be-zieht waumlhrend letztere sich auf temporaumlre Aumlnderungen beziehen Auch ist bei der sicherheitstechnischen Bewertung ereignis- bzw anlassbezogener Fragestellungen im Allgemeinen der zugrunde zu legende Zeit-raum eingrenzbar Bei probabilistischen Untersuchungen von ereignis- bzw anlassbezogenen Fragestellungen ist weiter zu dif-ferenzieren zwischen aufgetretenen Ereignissen und der Bewertung von Strategien bei mehreren zulaumlssigen Varianten Deshalb sind insbesondere bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen fuumlr ereignis- bzw anlassbezogenen Fragestellungen zeitabhaumlngige Analysen durchzufuumlhren welche die temporaumlren Aumln-derungen in den jeweiligen Zeitraumlumen zutreffend in den Modellierungen beruumlcksichtigen

5 VORGEHEN BEI DER BEWERTUNG Die probabilistische Bewertung der zu untersuchenden Fragestellung ist fallbezogen unter Beruumlcksichtigung der Unsicherheiten fuumlr die verschiedenen Ebenen der Modellierung der probabilistischen Untersuchungen durchzufuumlhren z B fuumlr Zuverlaumlssigkeitskenngroumlszligen Basisereignisse Fehlerbaumlume Systemfunktionen Si-cherheitsfunktionen Ereignisablaufsequenzen ausloumlsende Ereignisse und das Gesamtergebnis vgl auch Abschnitt 4 Daruumlber hinaus liefern die qualitativen Ergebnisse der anlagenspezifischen PSA ergaumlnzende Informationen und systematische Erkenntnisse Dafuumlr koumlnnen die Minimalschnitte der einzelnen Ereignisablaufsequenzen im Hinblick auf ihre Zusammensetzung ihre Beitraumlge sowie ihre jeweiligen Unsicherheiten analysiert wer-den Bei der Analyse und Bewertung der Minimalschnitte sollten administrative Regelungen oder Personal-handlungen besonders beachtet werden insbesondere solche die gewisse Schwaumlchen in der Anlagenaus-legung kompensieren sollen

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 11: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

10

11

VORWORT

Fuumlr die deutschen Kernkraftwerke sind in der Vergangenheit probabilistische Sicherheitsanalysen im Rah-men der Sicherheitsuumlberpruumlfung (SUuml) nach sect 19a AtG auf der Basis des Leitfadens Probabilistische Sicher-heitsanalyse BA 05 durchgefuumlhrt worden Die im November 2012 verabschiedeten Sicherheitsanforderungen an Kernkraftwerke BA 15 fordern in 5 (5b) bdquoIn Ergaumlnzung der deterministischen Nachweisfuumlhrungen muumlssen probabilistische Sicherheitsanalysen zu-dem durchgefuumlhrt werden um die sicherheitstechnische Relevanz bull von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie bull von Erkenntnissen die aus aufgetretenen sicherheitsrelevanten Ereignissen oder Phaumlnomenen bekannt

geworden sind und deren Uumlbertragbarkeit auf die im Anwendungsbereich der bdquoSicherheitsanforderungen an KKWldquo benannten Kernkraftwerke in Deutschland gegeben ist

bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist zu bewertenldquo

Hierdurch gibt es im deutschen kerntechnischen Regelwerk die Anforderung sicherheitstechnische Frage-stellungen auszligerhalb der SUuml probabilistisch zu bewerten Daher wurde der FAK PSA vom BMUB beauftragt einen sich aus diesen Anforderungen ergebenden methodischen Ergaumlnzungsbedarf zu identifizieren und entsprechende methodische Hilfestellungen zu erarbeiten Mit dieser Anwendungsunterlage legt der FAK PSA seine Beratungsergebnisse vor Hierin wird ein grund-saumltzlicher methodischer Rahmen zur Einbeziehung probabilistischer Methoden bei der Bewertung sicher-heitstechnisch relevanter Fragestellungen auszligerhalb der SUuml vorgeschlagen Es werden keine Aussagen uumlber aufsichtliche Aspekte bezuumlglich der Erfuumlllung der oben genannten Anforderungen in atomrechtlichen Verfahren gemacht Eine Reihe von konkreten Beispielen aus der Praxis dokumentiert daruumlber hinaus einen Teil der in Deutsch-land auf diesem Gebiet bereits gemachten Erfahrungen und illustriert das vorgeschlagene Vorgehen

12

13

1 ZIELSETZUNGEN PROBABILISTISCHER BEWERTUNGEN AUSSERHALB DER SUuml Probabilistische Untersuchungen zur gesamtheitlichen Bewertung konkreter sicherheitstechnischer Frage-stellungen auszligerhalb der SUuml koumlnnen durchgefuumlhrt werden um ergaumlnzend zur deterministischen Nachweis-fuumlhrung zusaumltzliche Erkenntnisse mit diesem im Vergleich zu einer deterministischen Vorgehensweise me-thodisch anderen Ansatz zu gewinnen Damit koumlnnen gegebenenfalls zusaumltzliche sicherheitsrelevante Er-kenntnisse zur Unterstuumltzung von Entscheidungsprozessen identifiziert und bewertet werden

2 ANWENDUNGSGEBIETE 21 ALLGEMEINES Uumlber die Nutzung probabilistischer Untersuchungen in den wiederkehrenden SUuml hinaus koumlnnen probabilisti-sche Untersuchungen in folgenden Anwendungsgebieten zum Einsatz kommen bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Mit einer probabilistischen Bewertung kann ihre sicherheitstechnische Relevanz gezeigt werden d h welche Auswirkung die jeweilige Aumlnderung auf das Sicherheitsniveau einer Anlage hat

bull Ereignisse oder Anlaumlsse aus dem Betrieb der Anlage d h Erkenntnisse die aus aufgetretenen sicher-heitsrelevanten Ereignissen oder Phaumlnomenen bekannt geworden sind Diese koumlnnen sich z B auf Mel-depflichtige Ereignisse (ME) Stoumlrungen betriebliche Ausfaumllle Instandsetzungszeiten festzulegende Strategien bei mehreren zulaumlssigen Varianten oder temporaumlre Modifikationen von Hardware-Konfigurati-onen beziehen Die Anwendung probabilistischer Methoden bei derartigen ereignis- bzw anlassbezogenen Fragestellun-gen zielt ebenfalls auf die sicherheitstechnische Bewertung der Auswirkungen auf das Sicherheitsni-veau d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung ab (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strategien)

Die unterschiedlichen Anwendungsgebiete sind in den Abschnitten 22 und 3 charakterisiert

22 VORGEHENSWEISE Es soll die Frage beantwortet werden ob bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage oder bull zu bewertende ereignis- bzw anlassbezogene Fragestellungen einen nennenswerten Einfluss auf die Ergebnisse der PSA erwarten lassen Dies erfordert nicht immer die Durchfuumlhrung von umfangreichen probabilistischen Bewertungen Daher wird hierfuumlr ein gestaffeltes Verfah-ren vorgeschlagen (vgl Screening-Prozess in Abschnitt 3) um nachvollziehbar einordnen und festlegen zu koumlnnen ob derartige ergaumlnzende probabilistische Bewertungen durchzufuumlhren sind Ein zu erwartender Einfluss kann dahingehend bewertet werden in welchem Umfang er eine Veraumlnderung des probabilistischen Ergebnisses zur Folge hat und wie sich diese Aumlnderung gegenuumlber Orientierungswer-ten (vgl Angaben in der RSK-Stellungnahme aus der 460 Sitzung bdquoRSK-Verstaumlndnis der Sicherheitsphiloso-phie RSK 13) darstellt Was ein bdquonennenswerter Einflussldquo ist sollte im Einzelfall begruumlndet werden In einem ersten Schritt ist es oft ausreichend mit Hilfe eines Fragebogens (wie z B in Anhang 1) und ver-einfachten Methoden Bewertungen vorzunehmen Im Rahmen der Anwendung probabilistischer Methoden kann gegebenenfalls in einem zweiten Schritt zur Feststellung der moumlglichen Auswirkungen der betrachteten sicherheitstechnischen Fragestellung auf die PSA-Modellierung eine detaillierte Fragenliste (vgl Anhang 2) als systematisches Hilfsmittel herangezogen werden Dabei ist zu beachten dass die Auswirkungen z T direkt analysiert werden koumlnnen z T jedoch nur indirekt feststell- und bewertbar sind (z B ob das Ausfallverhalten einer passiven Komponente die von der sicherheitstechnischen Fragestellung betroffen ist weiterhin als numerisch vernachlaumlssigbar gegenuumlber dem Ausfallverhalten aktiver Komponenten angenommen werden kann)

14

Als Ergebnis dieser Untersuchung bull kann der Teil der PSA-Modellierung identifiziert werden der von der sicherheitstechnischen Fragestel-

lung betroffen ist bull koumlnnen die Teile der PSA festgestellt werden die modifiziert werden sollten bull koumlnnen die Analysen identifiziert werden die zur ergaumlnzenden probabilistischen Bewertung der sicher-

heitstechnischen Fragestellung durchgefuumlhrt werden sollten

Auszligerdem koumlnnen anhand dieser Untersuchung der Umfang und die Tiefe der notwendigen Analysen ermit-telt werden Im Hinblick auf den Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifischen PSA die derzeit be-stimmte Bereiche nicht enthalten ist zunaumlchst qualitativ zu untersuchen (vgl Anhang 2) ob die sicherheits-technische Fragestellung diese nicht analysierten Bereiche beeinflusst Ist das der Fall sind danach abde-ckende auch qualitative Betrachtungen oder gegebenenfalls Sensitivitaumltsuntersuchungen durchzufuumlhren (vgl Anhang 4) wobei auch deterministische Zuverlaumlssigkeitsprinzipien wie die Bewertung von z B Redun-danz Diversitaumlt oder vorgesehenen Maszlignahmen fuumlr die nicht analysierten Bereiche herangezogen werden koumlnnen Wichtig ist dass auf diesen Aspekt eingegangen wird und nicht der moumlglicherweise unzutreffende Ruumlckschluss gezogen wird dass Auswirkungen sicherheitstechnischer Fragestellungen nicht risikorelevant seien weil sie in den anlagenspezifischen PSA derzeit nicht analysierte Bereiche beeinflussen Zur Bewertung der Auswirkungen der sicherheitstechnischen Fragestellung kann es notwendig sein den De-taillierungsgrad d h Modellierungstiefe und -umfang der anlagenspezifischen PSA zu vergroumlszligern oder zu ergaumlnzen (z B modulare Darstellung leittechnischer Systemfunktionen Beruumlcksichtigung passiver Kompo-nenten) Die Modifikationen koumlnnen entweder im PSA-Modell selbst erfolgen oder moumlgliche Auswirkungen koumlnnen durch Sensitivitaumltsanalysen eingegrenzt oder durch qualitative Betrachtungen bewertet werden Nachdem die moumlglichen Auswirkungen der sicherheitstechnischen Fragestellungen auf die PSA-Modellie-rung ermittelt worden sind sind gegebenenfalls die entsprechenden Modifikationen in der Modellierung der zugrundeliegenden PSA die als Ausgangsbasis herangezogen wird durchzufuumlhren und zu dokumentieren Fuumlr eine effiziente Abwicklung sollten Prozeduren unter Einbeziehung notwendiger Gesichtspunkte der Qua-litaumltssicherung Anwendung finden vgl z B Anhang 3

15

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS Ein Screening-Prozess sollte fuumlr die in Abschnitt 2 genannten Anwendungsgebiete durchgefuumlhrt werden

31 AumlNDERUNGSMAszligNAHMEN Fuumlr Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage nachfolgend kurz Aumlnde-rungsmaszlignahmen genannt sollte eine Einordnung in drei Kategorien vorgenommen werden die den zu er-wartenden Einfluss auf die PSA angeben Diese Kategorien sind in Tabelle 1 und Abbildung 1 definiert sie werden mit a b und c bezeichnet Von Aumlnderungsmaszlignahmen der Kategorie a wird kein Einfluss auf die PSA erwartet Kriterien nach denen eine Zuordnung zur Kategorie a vorgenommen werden kann sind bull Es werden Komponenten oder Teile davon gegen gleichwertige ausgetauscht In diesem Fall sind in der

PSA die gleichen Zuverlaumlssigkeitskenngroumlszligen zu verwenden wie bisher und das Ergebnis kann sich nicht aumlndern Dies gilt nicht wenn sich der Komponententyp aumlndert z B Ersetzung einer Klappe durch einen Schieber

bull Es handelt sich um eine Reparaturmaszlignahme bei der der Sollzustand wieder hergestellt wird bull Es handelt sich um eine Ersatzteilbeschaffung bull Es handelt sich um Brennelement-Antransport -Abtransport oder -Einlagerung bull Es handelt sich um eine Aumlnderung der Dokumentation Eine gegebenenfalls zugrunde liegende Anla-

genaumlnderung ist dagegen zu betrachten

Im Weiteren koumlnnen zur Unterstuumltzung und nachvollziehbaren Dokumentation der Zuordnung zu den Kate-gorien die 14 Fragen gemaumlszlig Anhang 1 herangezogen werden Von Aumlnderungsmaszlignahmen der Kategorie b wird zwar grundsaumltzlich ein Einfluss auf die PSA erwartet aller-dings kein nennenswerter Einfluss auf ihre Ergebnisse (weder direkt noch indirekt vgl Abschnitt 22) Hier-von betroffen sind auch die Bereiche die auszligerhalb des Umfangs der als Ausgangsbasis verfuumlgbaren anla-genspezifischen PSA liegen Eine eventuelle Aktualisierung der PSA als Konsequenz von Aumlnderungsmaszlig-nahmen der Kategorie b d h die Integration der durchgefuumlhrten Aumlnderungen in das PSA-Modell sollte tur-nusgemaumlszlig erfolgen (Zeitraum kuumlrzer als SUuml-Zyklus vgl Abschnitt 5)

16

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme

17

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung

Kategorie Einfluss auf die PSA er-wartet

Nennenswer-ter Einfluss auf die Ergeb-nisse der PSA

Probabilistische Bewertung bei Abwicklung der Aumlnderung

Modellierung Aktualisierung PSA

Anmerkungen

a nein nein nein nein

b ja nein weder direkt noch indirekt

nein zu gegebener Zeit In-tegration der Erkennt-nisse aus der Aumlnde-rungsmaszlignahme in die PSA-Modellierung

gegebenenfalls spaumltere bzw zusammenfas-sende Bewertung der Aumlnderungsmaszlig-nahme u U Vorschlaumlge fuumlr Modifikationen im PSA-Modell (vergleichbar betriebsbeglei-tender Pruumlfung)

c ja ja direkt oder indi-rekt

ja in Ergaumlnzung zur deterministischen Bewertung

zeitgleiche zeitnahe Modellierung Aktuali-sierung der PSA-Model-lierung

unmittelbare Ruumlckkopplung zur Aumlnderungs-maszlignahme Voraussetzung konkrete Infor-mationen liegen vor (gegebenenfalls Ergaumln-zung bezuumlglich bisherigem Stand)

18

Eine nachtraumlgliche zusammenfassende probabilistische Bewertung mehrerer realisierter Aumlnderungsmaszlignah-men kann ergaumlnzend durchgefuumlhrt werden Fuumlr realisierte Aumlnderungsmaszlignahmen der Kategorie b wuumlrden sich dadurch u U ndash vergleichbar einer betriebsbegleitenden Pruumlfung und Kontrolle in anderen Bereichen oder der bisherigen Sicherheitsuumlberpruumlfung ndash Vorschlaumlge fuumlr Modifikationen im PSA-Modell ergeben Aumlnderungsmaszlignahmen bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist (Kategorie c) sollen einer probabilistischen Bewertung unterzogen werden Bei diesen Aumlnderungsmaszlignah-men empfiehlt sich eine zeitnahe Aktualisierung der PSA Unter Umstaumlnden ergibt sich fuumlr die probabilisti-sche Bewertung die Veranlassung von Parameter- bzw Sensitivitaumltsstudien wie es z B fuumlr probabilistische Bewertungen vor Genehmigung und Errichtung einer Anlage international uumlblich ist

32 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Fuumlr die zu treffende Entscheidung ob bei konkreten ereignis- bzw anlassbezogenen Fragestellungen proba-bilistische Untersuchungen durchzufuumlhren sind kann in Anlehnung an die beschriebene Vorgehensweise fuumlr die Kategorisierung von Aumlnderungsmaszlignahmen vorgegangen werden Die entsprechenden Kategorien fuumlr ereignis- bzw anlassbezogene Fragestellungen werden im Folgenden mit α β und γ bezeichnet Zur Unter-stuumltzung und nachvollziehbaren Dokumentation koumlnnen ebenfalls die 14 Fragen gemaumlszlig Anhang 1 herange-zogen werden d h es wird uumlberlegt und abgefragt ob z B ein aufgetretenes meldepflichtiges Ereignis Auswirkungen auf das bisherige Spektrum ausloumlsender Ereignisse auf die zugrunde gelegten Wirksamkeits-bedingungen auf die angenommenen Ereignisablaufsequenzen usw haben kann Probabilistische Untersu-chungen derartiger ereignis- bzw anlassbezogener Fragestellungen zielen ebenfalls auf die sicherheitstech-nische Bewertung der Auswirkungen auf das Sicherheitsniveau ab d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strate-gien) Insofern ist die Kategorie α vergleichbar der Kategorie a im Falle von Aumlnderungsmaszlignahmen d h es wird kein Einfluss auf die PSA der Anlage erwartet Wenn von einer ereignis- bzw anlassbezogenen Fragestellung keine nennenswerte Auswirkung auf die je-weils vorliegende PSA erwartet wird faumlllt diese in die Kategorie β Eine eventuelle Aktualisierung der PSA entfaumlllt aufgrund der zeitlichen Beschraumlnkung des Ereignisses bzw des Anlasses vgl auch Abschnitt 52 Fuumlr die Faumllle bei denen fuumlr eine ereignis- bzw anlassbezogene Fragestellung eine nennenswerte Auswir-kung auf die Ergebnisse der vorliegende PSA zu erwarten ist soll in Ergaumlnzung der deterministischen Be-wertung auch eine probabilistische Bewertung durchgefuumlhrt werden Hierbei ist zu beachten dass spezifi-sche Randbedingungen von denen der vorliegenden PSA abweichen koumlnnen Beispiele fuumlr diese Randbe-dingungen sind unter anderem (vgl ENSI 15) bull Die Dauer der Nichtverfuumlgbarkeit einer Komponente bull die der ereignis- bzw anlassbezogenen Fragestellung zugeordnete Anlagenkonfiguration wie zum Bei-

spiel keine weitere Nichtverfuumlgbarkeit aufgrund vorgezogener Instandhaltung oder kompensatorischer Maszlignahmen

bull die aktuell vorliegenden Systemschaltungen die zB eine veraumlnderte Verfuumlgbarkeit eines Systems be-deuten

bull die eventuelle Uumlbertragbarkeit des Anlasses auf weitere Komponenten zB Neubewertung der Verfuumlg-barkeit

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN Die Methoden Vorgehensweisen und Randbedingungen zur Erstellung probabilistischer Analysen im Rah-men der SUuml sind in dem PSA-Leitfaden BA 05 bzw in den zugehoumlrigen Methoden- und Datenbaumlnden METH 05 DAT 05 festgelegt (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) und im Grundsatz auch fuumlr die sicherheitstechnische Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen soweit moumlg-lich und sinnvoll anzuwenden Um die sicherheitstechnisch relevanten Fragestellungen beantworten zu koumln-nen ist es jedoch moumlglicherweise erforderlich detaillierter und realistischer zu modellieren Generell sind die probabilistischen Untersuchungen nur dort anzuwenden wo der Stand der Methodik und die verfuumlgbaren Daten dies erlauben Bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen sind Vorgehen Umfang und Detaillierungsgrad fallbezogen anzupassen Ein solcher gestaffelter Bewertungsansatz wird auch in IAEA GSR Part 4 Kap 3 IAEA 16 beschrieben

19

Im Falle einer detaillierten probabilistischen Bewertung ist eine wesentliche Randbedingung dass die fuumlr probabilistische Untersuchungen verwendeten Modellierungen und Zuverlaumlssigkeitskenngroumlszligen dem aktuel-len Anlagenzustand entsprechen Konkrete Beispiele zur Durchfuumlhrung solcher probabilistischer Untersuchungen sind in Anhang 5 aufgefuumlhrt Moumlgliche Auswirkungen (direkte und indirekte) der zu untersuchenden Fragestellung auf die Modellierung der probabilistischen Untersuchungen sind festzustellen und nachvollziehbar zu dokumentieren Sind von der zu untersuchenden Fragestellung zusaumltzlich nicht analysierte Bereiche bezuumlglich der vorliegenden pro-babilistischen Untersuchungen betroffen ist in geeigneter Weise auf diesen Aspekt einzugehen (vgl auch Abschnitt 32) Fuumlr alle Zustaumlnde (z B vor und nach einer Aumlnderung oder mehrere geplante Strategien) sind abhaumlngig von der zu untersuchenden Fragestellung nachvollziehbare quantitative und qualitative Daten und Informationen bereitzustellen Abhaumlngig von den relevanten Analysesachverhalten betrifft dies z B folgende Daten bzw Informationen bull Zuverlaumlssigkeitskenngroumlszligen bull Nichtverfuumlgbarkeiten und Unsicherheiten von Basisereignissen Fehlerbaumlumen Systemfunktionen Si-

cherheitsfunktionen bull Eintrittshaumlufigkeiten von Ereignisablaufsequenzen ausloumlsenden Ereignissen oder Endzustaumlnden bull Gesamtergebnis (z B Haumlufigkeit von Brennstabschadenszustaumlnden) und bull Importanz und Sensitivitaumlt von Zuverlaumlssigkeitskenngroumlszligen Basisereignissen und -gruppen sowie bull Modellierung des Ausfallverhaltens bull Beruumlcksichtigung und Modellierung von gemeinsam verursachten Ausfaumlllen bull Beruumlcksichtigung und Modellierung von Personalhandlungen bull Beruumlcksichtigung und Bewertung von Unsicherheiten bull Zusammensetzung von Minimalschnitten bull Bewertung von Ereignisablaufsequenzen hinsichtlich ihrer Endzustaumlnde sowie der Uumlbergaumlnge aus rele-

vanten Zwischenzustaumlnden

Ein grundlegender Unterschied bei der sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen im Vergleich zu ereignis- bzw anlassbezogenen Fragestellungen besteht darin dass sich erstere im Allgemei-nen auf eine Aumlnderung des Zustands der Anlage beziehen der andauert und sich auf das ganze Jahr be-zieht waumlhrend letztere sich auf temporaumlre Aumlnderungen beziehen Auch ist bei der sicherheitstechnischen Bewertung ereignis- bzw anlassbezogener Fragestellungen im Allgemeinen der zugrunde zu legende Zeit-raum eingrenzbar Bei probabilistischen Untersuchungen von ereignis- bzw anlassbezogenen Fragestellungen ist weiter zu dif-ferenzieren zwischen aufgetretenen Ereignissen und der Bewertung von Strategien bei mehreren zulaumlssigen Varianten Deshalb sind insbesondere bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen fuumlr ereignis- bzw anlassbezogenen Fragestellungen zeitabhaumlngige Analysen durchzufuumlhren welche die temporaumlren Aumln-derungen in den jeweiligen Zeitraumlumen zutreffend in den Modellierungen beruumlcksichtigen

5 VORGEHEN BEI DER BEWERTUNG Die probabilistische Bewertung der zu untersuchenden Fragestellung ist fallbezogen unter Beruumlcksichtigung der Unsicherheiten fuumlr die verschiedenen Ebenen der Modellierung der probabilistischen Untersuchungen durchzufuumlhren z B fuumlr Zuverlaumlssigkeitskenngroumlszligen Basisereignisse Fehlerbaumlume Systemfunktionen Si-cherheitsfunktionen Ereignisablaufsequenzen ausloumlsende Ereignisse und das Gesamtergebnis vgl auch Abschnitt 4 Daruumlber hinaus liefern die qualitativen Ergebnisse der anlagenspezifischen PSA ergaumlnzende Informationen und systematische Erkenntnisse Dafuumlr koumlnnen die Minimalschnitte der einzelnen Ereignisablaufsequenzen im Hinblick auf ihre Zusammensetzung ihre Beitraumlge sowie ihre jeweiligen Unsicherheiten analysiert wer-den Bei der Analyse und Bewertung der Minimalschnitte sollten administrative Regelungen oder Personal-handlungen besonders beachtet werden insbesondere solche die gewisse Schwaumlchen in der Anlagenaus-legung kompensieren sollen

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 12: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

11

VORWORT

Fuumlr die deutschen Kernkraftwerke sind in der Vergangenheit probabilistische Sicherheitsanalysen im Rah-men der Sicherheitsuumlberpruumlfung (SUuml) nach sect 19a AtG auf der Basis des Leitfadens Probabilistische Sicher-heitsanalyse BA 05 durchgefuumlhrt worden Die im November 2012 verabschiedeten Sicherheitsanforderungen an Kernkraftwerke BA 15 fordern in 5 (5b) bdquoIn Ergaumlnzung der deterministischen Nachweisfuumlhrungen muumlssen probabilistische Sicherheitsanalysen zu-dem durchgefuumlhrt werden um die sicherheitstechnische Relevanz bull von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie bull von Erkenntnissen die aus aufgetretenen sicherheitsrelevanten Ereignissen oder Phaumlnomenen bekannt

geworden sind und deren Uumlbertragbarkeit auf die im Anwendungsbereich der bdquoSicherheitsanforderungen an KKWldquo benannten Kernkraftwerke in Deutschland gegeben ist

bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist zu bewertenldquo

Hierdurch gibt es im deutschen kerntechnischen Regelwerk die Anforderung sicherheitstechnische Frage-stellungen auszligerhalb der SUuml probabilistisch zu bewerten Daher wurde der FAK PSA vom BMUB beauftragt einen sich aus diesen Anforderungen ergebenden methodischen Ergaumlnzungsbedarf zu identifizieren und entsprechende methodische Hilfestellungen zu erarbeiten Mit dieser Anwendungsunterlage legt der FAK PSA seine Beratungsergebnisse vor Hierin wird ein grund-saumltzlicher methodischer Rahmen zur Einbeziehung probabilistischer Methoden bei der Bewertung sicher-heitstechnisch relevanter Fragestellungen auszligerhalb der SUuml vorgeschlagen Es werden keine Aussagen uumlber aufsichtliche Aspekte bezuumlglich der Erfuumlllung der oben genannten Anforderungen in atomrechtlichen Verfahren gemacht Eine Reihe von konkreten Beispielen aus der Praxis dokumentiert daruumlber hinaus einen Teil der in Deutsch-land auf diesem Gebiet bereits gemachten Erfahrungen und illustriert das vorgeschlagene Vorgehen

12

13

1 ZIELSETZUNGEN PROBABILISTISCHER BEWERTUNGEN AUSSERHALB DER SUuml Probabilistische Untersuchungen zur gesamtheitlichen Bewertung konkreter sicherheitstechnischer Frage-stellungen auszligerhalb der SUuml koumlnnen durchgefuumlhrt werden um ergaumlnzend zur deterministischen Nachweis-fuumlhrung zusaumltzliche Erkenntnisse mit diesem im Vergleich zu einer deterministischen Vorgehensweise me-thodisch anderen Ansatz zu gewinnen Damit koumlnnen gegebenenfalls zusaumltzliche sicherheitsrelevante Er-kenntnisse zur Unterstuumltzung von Entscheidungsprozessen identifiziert und bewertet werden

2 ANWENDUNGSGEBIETE 21 ALLGEMEINES Uumlber die Nutzung probabilistischer Untersuchungen in den wiederkehrenden SUuml hinaus koumlnnen probabilisti-sche Untersuchungen in folgenden Anwendungsgebieten zum Einsatz kommen bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Mit einer probabilistischen Bewertung kann ihre sicherheitstechnische Relevanz gezeigt werden d h welche Auswirkung die jeweilige Aumlnderung auf das Sicherheitsniveau einer Anlage hat

bull Ereignisse oder Anlaumlsse aus dem Betrieb der Anlage d h Erkenntnisse die aus aufgetretenen sicher-heitsrelevanten Ereignissen oder Phaumlnomenen bekannt geworden sind Diese koumlnnen sich z B auf Mel-depflichtige Ereignisse (ME) Stoumlrungen betriebliche Ausfaumllle Instandsetzungszeiten festzulegende Strategien bei mehreren zulaumlssigen Varianten oder temporaumlre Modifikationen von Hardware-Konfigurati-onen beziehen Die Anwendung probabilistischer Methoden bei derartigen ereignis- bzw anlassbezogenen Fragestellun-gen zielt ebenfalls auf die sicherheitstechnische Bewertung der Auswirkungen auf das Sicherheitsni-veau d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung ab (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strategien)

Die unterschiedlichen Anwendungsgebiete sind in den Abschnitten 22 und 3 charakterisiert

22 VORGEHENSWEISE Es soll die Frage beantwortet werden ob bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage oder bull zu bewertende ereignis- bzw anlassbezogene Fragestellungen einen nennenswerten Einfluss auf die Ergebnisse der PSA erwarten lassen Dies erfordert nicht immer die Durchfuumlhrung von umfangreichen probabilistischen Bewertungen Daher wird hierfuumlr ein gestaffeltes Verfah-ren vorgeschlagen (vgl Screening-Prozess in Abschnitt 3) um nachvollziehbar einordnen und festlegen zu koumlnnen ob derartige ergaumlnzende probabilistische Bewertungen durchzufuumlhren sind Ein zu erwartender Einfluss kann dahingehend bewertet werden in welchem Umfang er eine Veraumlnderung des probabilistischen Ergebnisses zur Folge hat und wie sich diese Aumlnderung gegenuumlber Orientierungswer-ten (vgl Angaben in der RSK-Stellungnahme aus der 460 Sitzung bdquoRSK-Verstaumlndnis der Sicherheitsphiloso-phie RSK 13) darstellt Was ein bdquonennenswerter Einflussldquo ist sollte im Einzelfall begruumlndet werden In einem ersten Schritt ist es oft ausreichend mit Hilfe eines Fragebogens (wie z B in Anhang 1) und ver-einfachten Methoden Bewertungen vorzunehmen Im Rahmen der Anwendung probabilistischer Methoden kann gegebenenfalls in einem zweiten Schritt zur Feststellung der moumlglichen Auswirkungen der betrachteten sicherheitstechnischen Fragestellung auf die PSA-Modellierung eine detaillierte Fragenliste (vgl Anhang 2) als systematisches Hilfsmittel herangezogen werden Dabei ist zu beachten dass die Auswirkungen z T direkt analysiert werden koumlnnen z T jedoch nur indirekt feststell- und bewertbar sind (z B ob das Ausfallverhalten einer passiven Komponente die von der sicherheitstechnischen Fragestellung betroffen ist weiterhin als numerisch vernachlaumlssigbar gegenuumlber dem Ausfallverhalten aktiver Komponenten angenommen werden kann)

14

Als Ergebnis dieser Untersuchung bull kann der Teil der PSA-Modellierung identifiziert werden der von der sicherheitstechnischen Fragestel-

lung betroffen ist bull koumlnnen die Teile der PSA festgestellt werden die modifiziert werden sollten bull koumlnnen die Analysen identifiziert werden die zur ergaumlnzenden probabilistischen Bewertung der sicher-

heitstechnischen Fragestellung durchgefuumlhrt werden sollten

Auszligerdem koumlnnen anhand dieser Untersuchung der Umfang und die Tiefe der notwendigen Analysen ermit-telt werden Im Hinblick auf den Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifischen PSA die derzeit be-stimmte Bereiche nicht enthalten ist zunaumlchst qualitativ zu untersuchen (vgl Anhang 2) ob die sicherheits-technische Fragestellung diese nicht analysierten Bereiche beeinflusst Ist das der Fall sind danach abde-ckende auch qualitative Betrachtungen oder gegebenenfalls Sensitivitaumltsuntersuchungen durchzufuumlhren (vgl Anhang 4) wobei auch deterministische Zuverlaumlssigkeitsprinzipien wie die Bewertung von z B Redun-danz Diversitaumlt oder vorgesehenen Maszlignahmen fuumlr die nicht analysierten Bereiche herangezogen werden koumlnnen Wichtig ist dass auf diesen Aspekt eingegangen wird und nicht der moumlglicherweise unzutreffende Ruumlckschluss gezogen wird dass Auswirkungen sicherheitstechnischer Fragestellungen nicht risikorelevant seien weil sie in den anlagenspezifischen PSA derzeit nicht analysierte Bereiche beeinflussen Zur Bewertung der Auswirkungen der sicherheitstechnischen Fragestellung kann es notwendig sein den De-taillierungsgrad d h Modellierungstiefe und -umfang der anlagenspezifischen PSA zu vergroumlszligern oder zu ergaumlnzen (z B modulare Darstellung leittechnischer Systemfunktionen Beruumlcksichtigung passiver Kompo-nenten) Die Modifikationen koumlnnen entweder im PSA-Modell selbst erfolgen oder moumlgliche Auswirkungen koumlnnen durch Sensitivitaumltsanalysen eingegrenzt oder durch qualitative Betrachtungen bewertet werden Nachdem die moumlglichen Auswirkungen der sicherheitstechnischen Fragestellungen auf die PSA-Modellie-rung ermittelt worden sind sind gegebenenfalls die entsprechenden Modifikationen in der Modellierung der zugrundeliegenden PSA die als Ausgangsbasis herangezogen wird durchzufuumlhren und zu dokumentieren Fuumlr eine effiziente Abwicklung sollten Prozeduren unter Einbeziehung notwendiger Gesichtspunkte der Qua-litaumltssicherung Anwendung finden vgl z B Anhang 3

15

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS Ein Screening-Prozess sollte fuumlr die in Abschnitt 2 genannten Anwendungsgebiete durchgefuumlhrt werden

31 AumlNDERUNGSMAszligNAHMEN Fuumlr Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage nachfolgend kurz Aumlnde-rungsmaszlignahmen genannt sollte eine Einordnung in drei Kategorien vorgenommen werden die den zu er-wartenden Einfluss auf die PSA angeben Diese Kategorien sind in Tabelle 1 und Abbildung 1 definiert sie werden mit a b und c bezeichnet Von Aumlnderungsmaszlignahmen der Kategorie a wird kein Einfluss auf die PSA erwartet Kriterien nach denen eine Zuordnung zur Kategorie a vorgenommen werden kann sind bull Es werden Komponenten oder Teile davon gegen gleichwertige ausgetauscht In diesem Fall sind in der

PSA die gleichen Zuverlaumlssigkeitskenngroumlszligen zu verwenden wie bisher und das Ergebnis kann sich nicht aumlndern Dies gilt nicht wenn sich der Komponententyp aumlndert z B Ersetzung einer Klappe durch einen Schieber

bull Es handelt sich um eine Reparaturmaszlignahme bei der der Sollzustand wieder hergestellt wird bull Es handelt sich um eine Ersatzteilbeschaffung bull Es handelt sich um Brennelement-Antransport -Abtransport oder -Einlagerung bull Es handelt sich um eine Aumlnderung der Dokumentation Eine gegebenenfalls zugrunde liegende Anla-

genaumlnderung ist dagegen zu betrachten

Im Weiteren koumlnnen zur Unterstuumltzung und nachvollziehbaren Dokumentation der Zuordnung zu den Kate-gorien die 14 Fragen gemaumlszlig Anhang 1 herangezogen werden Von Aumlnderungsmaszlignahmen der Kategorie b wird zwar grundsaumltzlich ein Einfluss auf die PSA erwartet aller-dings kein nennenswerter Einfluss auf ihre Ergebnisse (weder direkt noch indirekt vgl Abschnitt 22) Hier-von betroffen sind auch die Bereiche die auszligerhalb des Umfangs der als Ausgangsbasis verfuumlgbaren anla-genspezifischen PSA liegen Eine eventuelle Aktualisierung der PSA als Konsequenz von Aumlnderungsmaszlig-nahmen der Kategorie b d h die Integration der durchgefuumlhrten Aumlnderungen in das PSA-Modell sollte tur-nusgemaumlszlig erfolgen (Zeitraum kuumlrzer als SUuml-Zyklus vgl Abschnitt 5)

16

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme

17

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung

Kategorie Einfluss auf die PSA er-wartet

Nennenswer-ter Einfluss auf die Ergeb-nisse der PSA

Probabilistische Bewertung bei Abwicklung der Aumlnderung

Modellierung Aktualisierung PSA

Anmerkungen

a nein nein nein nein

b ja nein weder direkt noch indirekt

nein zu gegebener Zeit In-tegration der Erkennt-nisse aus der Aumlnde-rungsmaszlignahme in die PSA-Modellierung

gegebenenfalls spaumltere bzw zusammenfas-sende Bewertung der Aumlnderungsmaszlig-nahme u U Vorschlaumlge fuumlr Modifikationen im PSA-Modell (vergleichbar betriebsbeglei-tender Pruumlfung)

c ja ja direkt oder indi-rekt

ja in Ergaumlnzung zur deterministischen Bewertung

zeitgleiche zeitnahe Modellierung Aktuali-sierung der PSA-Model-lierung

unmittelbare Ruumlckkopplung zur Aumlnderungs-maszlignahme Voraussetzung konkrete Infor-mationen liegen vor (gegebenenfalls Ergaumln-zung bezuumlglich bisherigem Stand)

18

Eine nachtraumlgliche zusammenfassende probabilistische Bewertung mehrerer realisierter Aumlnderungsmaszlignah-men kann ergaumlnzend durchgefuumlhrt werden Fuumlr realisierte Aumlnderungsmaszlignahmen der Kategorie b wuumlrden sich dadurch u U ndash vergleichbar einer betriebsbegleitenden Pruumlfung und Kontrolle in anderen Bereichen oder der bisherigen Sicherheitsuumlberpruumlfung ndash Vorschlaumlge fuumlr Modifikationen im PSA-Modell ergeben Aumlnderungsmaszlignahmen bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist (Kategorie c) sollen einer probabilistischen Bewertung unterzogen werden Bei diesen Aumlnderungsmaszlignah-men empfiehlt sich eine zeitnahe Aktualisierung der PSA Unter Umstaumlnden ergibt sich fuumlr die probabilisti-sche Bewertung die Veranlassung von Parameter- bzw Sensitivitaumltsstudien wie es z B fuumlr probabilistische Bewertungen vor Genehmigung und Errichtung einer Anlage international uumlblich ist

32 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Fuumlr die zu treffende Entscheidung ob bei konkreten ereignis- bzw anlassbezogenen Fragestellungen proba-bilistische Untersuchungen durchzufuumlhren sind kann in Anlehnung an die beschriebene Vorgehensweise fuumlr die Kategorisierung von Aumlnderungsmaszlignahmen vorgegangen werden Die entsprechenden Kategorien fuumlr ereignis- bzw anlassbezogene Fragestellungen werden im Folgenden mit α β und γ bezeichnet Zur Unter-stuumltzung und nachvollziehbaren Dokumentation koumlnnen ebenfalls die 14 Fragen gemaumlszlig Anhang 1 herange-zogen werden d h es wird uumlberlegt und abgefragt ob z B ein aufgetretenes meldepflichtiges Ereignis Auswirkungen auf das bisherige Spektrum ausloumlsender Ereignisse auf die zugrunde gelegten Wirksamkeits-bedingungen auf die angenommenen Ereignisablaufsequenzen usw haben kann Probabilistische Untersu-chungen derartiger ereignis- bzw anlassbezogener Fragestellungen zielen ebenfalls auf die sicherheitstech-nische Bewertung der Auswirkungen auf das Sicherheitsniveau ab d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strate-gien) Insofern ist die Kategorie α vergleichbar der Kategorie a im Falle von Aumlnderungsmaszlignahmen d h es wird kein Einfluss auf die PSA der Anlage erwartet Wenn von einer ereignis- bzw anlassbezogenen Fragestellung keine nennenswerte Auswirkung auf die je-weils vorliegende PSA erwartet wird faumlllt diese in die Kategorie β Eine eventuelle Aktualisierung der PSA entfaumlllt aufgrund der zeitlichen Beschraumlnkung des Ereignisses bzw des Anlasses vgl auch Abschnitt 52 Fuumlr die Faumllle bei denen fuumlr eine ereignis- bzw anlassbezogene Fragestellung eine nennenswerte Auswir-kung auf die Ergebnisse der vorliegende PSA zu erwarten ist soll in Ergaumlnzung der deterministischen Be-wertung auch eine probabilistische Bewertung durchgefuumlhrt werden Hierbei ist zu beachten dass spezifi-sche Randbedingungen von denen der vorliegenden PSA abweichen koumlnnen Beispiele fuumlr diese Randbe-dingungen sind unter anderem (vgl ENSI 15) bull Die Dauer der Nichtverfuumlgbarkeit einer Komponente bull die der ereignis- bzw anlassbezogenen Fragestellung zugeordnete Anlagenkonfiguration wie zum Bei-

spiel keine weitere Nichtverfuumlgbarkeit aufgrund vorgezogener Instandhaltung oder kompensatorischer Maszlignahmen

bull die aktuell vorliegenden Systemschaltungen die zB eine veraumlnderte Verfuumlgbarkeit eines Systems be-deuten

bull die eventuelle Uumlbertragbarkeit des Anlasses auf weitere Komponenten zB Neubewertung der Verfuumlg-barkeit

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN Die Methoden Vorgehensweisen und Randbedingungen zur Erstellung probabilistischer Analysen im Rah-men der SUuml sind in dem PSA-Leitfaden BA 05 bzw in den zugehoumlrigen Methoden- und Datenbaumlnden METH 05 DAT 05 festgelegt (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) und im Grundsatz auch fuumlr die sicherheitstechnische Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen soweit moumlg-lich und sinnvoll anzuwenden Um die sicherheitstechnisch relevanten Fragestellungen beantworten zu koumln-nen ist es jedoch moumlglicherweise erforderlich detaillierter und realistischer zu modellieren Generell sind die probabilistischen Untersuchungen nur dort anzuwenden wo der Stand der Methodik und die verfuumlgbaren Daten dies erlauben Bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen sind Vorgehen Umfang und Detaillierungsgrad fallbezogen anzupassen Ein solcher gestaffelter Bewertungsansatz wird auch in IAEA GSR Part 4 Kap 3 IAEA 16 beschrieben

19

Im Falle einer detaillierten probabilistischen Bewertung ist eine wesentliche Randbedingung dass die fuumlr probabilistische Untersuchungen verwendeten Modellierungen und Zuverlaumlssigkeitskenngroumlszligen dem aktuel-len Anlagenzustand entsprechen Konkrete Beispiele zur Durchfuumlhrung solcher probabilistischer Untersuchungen sind in Anhang 5 aufgefuumlhrt Moumlgliche Auswirkungen (direkte und indirekte) der zu untersuchenden Fragestellung auf die Modellierung der probabilistischen Untersuchungen sind festzustellen und nachvollziehbar zu dokumentieren Sind von der zu untersuchenden Fragestellung zusaumltzlich nicht analysierte Bereiche bezuumlglich der vorliegenden pro-babilistischen Untersuchungen betroffen ist in geeigneter Weise auf diesen Aspekt einzugehen (vgl auch Abschnitt 32) Fuumlr alle Zustaumlnde (z B vor und nach einer Aumlnderung oder mehrere geplante Strategien) sind abhaumlngig von der zu untersuchenden Fragestellung nachvollziehbare quantitative und qualitative Daten und Informationen bereitzustellen Abhaumlngig von den relevanten Analysesachverhalten betrifft dies z B folgende Daten bzw Informationen bull Zuverlaumlssigkeitskenngroumlszligen bull Nichtverfuumlgbarkeiten und Unsicherheiten von Basisereignissen Fehlerbaumlumen Systemfunktionen Si-

cherheitsfunktionen bull Eintrittshaumlufigkeiten von Ereignisablaufsequenzen ausloumlsenden Ereignissen oder Endzustaumlnden bull Gesamtergebnis (z B Haumlufigkeit von Brennstabschadenszustaumlnden) und bull Importanz und Sensitivitaumlt von Zuverlaumlssigkeitskenngroumlszligen Basisereignissen und -gruppen sowie bull Modellierung des Ausfallverhaltens bull Beruumlcksichtigung und Modellierung von gemeinsam verursachten Ausfaumlllen bull Beruumlcksichtigung und Modellierung von Personalhandlungen bull Beruumlcksichtigung und Bewertung von Unsicherheiten bull Zusammensetzung von Minimalschnitten bull Bewertung von Ereignisablaufsequenzen hinsichtlich ihrer Endzustaumlnde sowie der Uumlbergaumlnge aus rele-

vanten Zwischenzustaumlnden

Ein grundlegender Unterschied bei der sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen im Vergleich zu ereignis- bzw anlassbezogenen Fragestellungen besteht darin dass sich erstere im Allgemei-nen auf eine Aumlnderung des Zustands der Anlage beziehen der andauert und sich auf das ganze Jahr be-zieht waumlhrend letztere sich auf temporaumlre Aumlnderungen beziehen Auch ist bei der sicherheitstechnischen Bewertung ereignis- bzw anlassbezogener Fragestellungen im Allgemeinen der zugrunde zu legende Zeit-raum eingrenzbar Bei probabilistischen Untersuchungen von ereignis- bzw anlassbezogenen Fragestellungen ist weiter zu dif-ferenzieren zwischen aufgetretenen Ereignissen und der Bewertung von Strategien bei mehreren zulaumlssigen Varianten Deshalb sind insbesondere bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen fuumlr ereignis- bzw anlassbezogenen Fragestellungen zeitabhaumlngige Analysen durchzufuumlhren welche die temporaumlren Aumln-derungen in den jeweiligen Zeitraumlumen zutreffend in den Modellierungen beruumlcksichtigen

5 VORGEHEN BEI DER BEWERTUNG Die probabilistische Bewertung der zu untersuchenden Fragestellung ist fallbezogen unter Beruumlcksichtigung der Unsicherheiten fuumlr die verschiedenen Ebenen der Modellierung der probabilistischen Untersuchungen durchzufuumlhren z B fuumlr Zuverlaumlssigkeitskenngroumlszligen Basisereignisse Fehlerbaumlume Systemfunktionen Si-cherheitsfunktionen Ereignisablaufsequenzen ausloumlsende Ereignisse und das Gesamtergebnis vgl auch Abschnitt 4 Daruumlber hinaus liefern die qualitativen Ergebnisse der anlagenspezifischen PSA ergaumlnzende Informationen und systematische Erkenntnisse Dafuumlr koumlnnen die Minimalschnitte der einzelnen Ereignisablaufsequenzen im Hinblick auf ihre Zusammensetzung ihre Beitraumlge sowie ihre jeweiligen Unsicherheiten analysiert wer-den Bei der Analyse und Bewertung der Minimalschnitte sollten administrative Regelungen oder Personal-handlungen besonders beachtet werden insbesondere solche die gewisse Schwaumlchen in der Anlagenaus-legung kompensieren sollen

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 13: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

12

13

1 ZIELSETZUNGEN PROBABILISTISCHER BEWERTUNGEN AUSSERHALB DER SUuml Probabilistische Untersuchungen zur gesamtheitlichen Bewertung konkreter sicherheitstechnischer Frage-stellungen auszligerhalb der SUuml koumlnnen durchgefuumlhrt werden um ergaumlnzend zur deterministischen Nachweis-fuumlhrung zusaumltzliche Erkenntnisse mit diesem im Vergleich zu einer deterministischen Vorgehensweise me-thodisch anderen Ansatz zu gewinnen Damit koumlnnen gegebenenfalls zusaumltzliche sicherheitsrelevante Er-kenntnisse zur Unterstuumltzung von Entscheidungsprozessen identifiziert und bewertet werden

2 ANWENDUNGSGEBIETE 21 ALLGEMEINES Uumlber die Nutzung probabilistischer Untersuchungen in den wiederkehrenden SUuml hinaus koumlnnen probabilisti-sche Untersuchungen in folgenden Anwendungsgebieten zum Einsatz kommen bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Mit einer probabilistischen Bewertung kann ihre sicherheitstechnische Relevanz gezeigt werden d h welche Auswirkung die jeweilige Aumlnderung auf das Sicherheitsniveau einer Anlage hat

bull Ereignisse oder Anlaumlsse aus dem Betrieb der Anlage d h Erkenntnisse die aus aufgetretenen sicher-heitsrelevanten Ereignissen oder Phaumlnomenen bekannt geworden sind Diese koumlnnen sich z B auf Mel-depflichtige Ereignisse (ME) Stoumlrungen betriebliche Ausfaumllle Instandsetzungszeiten festzulegende Strategien bei mehreren zulaumlssigen Varianten oder temporaumlre Modifikationen von Hardware-Konfigurati-onen beziehen Die Anwendung probabilistischer Methoden bei derartigen ereignis- bzw anlassbezogenen Fragestellun-gen zielt ebenfalls auf die sicherheitstechnische Bewertung der Auswirkungen auf das Sicherheitsni-veau d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung ab (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strategien)

Die unterschiedlichen Anwendungsgebiete sind in den Abschnitten 22 und 3 charakterisiert

22 VORGEHENSWEISE Es soll die Frage beantwortet werden ob bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage oder bull zu bewertende ereignis- bzw anlassbezogene Fragestellungen einen nennenswerten Einfluss auf die Ergebnisse der PSA erwarten lassen Dies erfordert nicht immer die Durchfuumlhrung von umfangreichen probabilistischen Bewertungen Daher wird hierfuumlr ein gestaffeltes Verfah-ren vorgeschlagen (vgl Screening-Prozess in Abschnitt 3) um nachvollziehbar einordnen und festlegen zu koumlnnen ob derartige ergaumlnzende probabilistische Bewertungen durchzufuumlhren sind Ein zu erwartender Einfluss kann dahingehend bewertet werden in welchem Umfang er eine Veraumlnderung des probabilistischen Ergebnisses zur Folge hat und wie sich diese Aumlnderung gegenuumlber Orientierungswer-ten (vgl Angaben in der RSK-Stellungnahme aus der 460 Sitzung bdquoRSK-Verstaumlndnis der Sicherheitsphiloso-phie RSK 13) darstellt Was ein bdquonennenswerter Einflussldquo ist sollte im Einzelfall begruumlndet werden In einem ersten Schritt ist es oft ausreichend mit Hilfe eines Fragebogens (wie z B in Anhang 1) und ver-einfachten Methoden Bewertungen vorzunehmen Im Rahmen der Anwendung probabilistischer Methoden kann gegebenenfalls in einem zweiten Schritt zur Feststellung der moumlglichen Auswirkungen der betrachteten sicherheitstechnischen Fragestellung auf die PSA-Modellierung eine detaillierte Fragenliste (vgl Anhang 2) als systematisches Hilfsmittel herangezogen werden Dabei ist zu beachten dass die Auswirkungen z T direkt analysiert werden koumlnnen z T jedoch nur indirekt feststell- und bewertbar sind (z B ob das Ausfallverhalten einer passiven Komponente die von der sicherheitstechnischen Fragestellung betroffen ist weiterhin als numerisch vernachlaumlssigbar gegenuumlber dem Ausfallverhalten aktiver Komponenten angenommen werden kann)

14

Als Ergebnis dieser Untersuchung bull kann der Teil der PSA-Modellierung identifiziert werden der von der sicherheitstechnischen Fragestel-

lung betroffen ist bull koumlnnen die Teile der PSA festgestellt werden die modifiziert werden sollten bull koumlnnen die Analysen identifiziert werden die zur ergaumlnzenden probabilistischen Bewertung der sicher-

heitstechnischen Fragestellung durchgefuumlhrt werden sollten

Auszligerdem koumlnnen anhand dieser Untersuchung der Umfang und die Tiefe der notwendigen Analysen ermit-telt werden Im Hinblick auf den Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifischen PSA die derzeit be-stimmte Bereiche nicht enthalten ist zunaumlchst qualitativ zu untersuchen (vgl Anhang 2) ob die sicherheits-technische Fragestellung diese nicht analysierten Bereiche beeinflusst Ist das der Fall sind danach abde-ckende auch qualitative Betrachtungen oder gegebenenfalls Sensitivitaumltsuntersuchungen durchzufuumlhren (vgl Anhang 4) wobei auch deterministische Zuverlaumlssigkeitsprinzipien wie die Bewertung von z B Redun-danz Diversitaumlt oder vorgesehenen Maszlignahmen fuumlr die nicht analysierten Bereiche herangezogen werden koumlnnen Wichtig ist dass auf diesen Aspekt eingegangen wird und nicht der moumlglicherweise unzutreffende Ruumlckschluss gezogen wird dass Auswirkungen sicherheitstechnischer Fragestellungen nicht risikorelevant seien weil sie in den anlagenspezifischen PSA derzeit nicht analysierte Bereiche beeinflussen Zur Bewertung der Auswirkungen der sicherheitstechnischen Fragestellung kann es notwendig sein den De-taillierungsgrad d h Modellierungstiefe und -umfang der anlagenspezifischen PSA zu vergroumlszligern oder zu ergaumlnzen (z B modulare Darstellung leittechnischer Systemfunktionen Beruumlcksichtigung passiver Kompo-nenten) Die Modifikationen koumlnnen entweder im PSA-Modell selbst erfolgen oder moumlgliche Auswirkungen koumlnnen durch Sensitivitaumltsanalysen eingegrenzt oder durch qualitative Betrachtungen bewertet werden Nachdem die moumlglichen Auswirkungen der sicherheitstechnischen Fragestellungen auf die PSA-Modellie-rung ermittelt worden sind sind gegebenenfalls die entsprechenden Modifikationen in der Modellierung der zugrundeliegenden PSA die als Ausgangsbasis herangezogen wird durchzufuumlhren und zu dokumentieren Fuumlr eine effiziente Abwicklung sollten Prozeduren unter Einbeziehung notwendiger Gesichtspunkte der Qua-litaumltssicherung Anwendung finden vgl z B Anhang 3

15

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS Ein Screening-Prozess sollte fuumlr die in Abschnitt 2 genannten Anwendungsgebiete durchgefuumlhrt werden

31 AumlNDERUNGSMAszligNAHMEN Fuumlr Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage nachfolgend kurz Aumlnde-rungsmaszlignahmen genannt sollte eine Einordnung in drei Kategorien vorgenommen werden die den zu er-wartenden Einfluss auf die PSA angeben Diese Kategorien sind in Tabelle 1 und Abbildung 1 definiert sie werden mit a b und c bezeichnet Von Aumlnderungsmaszlignahmen der Kategorie a wird kein Einfluss auf die PSA erwartet Kriterien nach denen eine Zuordnung zur Kategorie a vorgenommen werden kann sind bull Es werden Komponenten oder Teile davon gegen gleichwertige ausgetauscht In diesem Fall sind in der

PSA die gleichen Zuverlaumlssigkeitskenngroumlszligen zu verwenden wie bisher und das Ergebnis kann sich nicht aumlndern Dies gilt nicht wenn sich der Komponententyp aumlndert z B Ersetzung einer Klappe durch einen Schieber

bull Es handelt sich um eine Reparaturmaszlignahme bei der der Sollzustand wieder hergestellt wird bull Es handelt sich um eine Ersatzteilbeschaffung bull Es handelt sich um Brennelement-Antransport -Abtransport oder -Einlagerung bull Es handelt sich um eine Aumlnderung der Dokumentation Eine gegebenenfalls zugrunde liegende Anla-

genaumlnderung ist dagegen zu betrachten

Im Weiteren koumlnnen zur Unterstuumltzung und nachvollziehbaren Dokumentation der Zuordnung zu den Kate-gorien die 14 Fragen gemaumlszlig Anhang 1 herangezogen werden Von Aumlnderungsmaszlignahmen der Kategorie b wird zwar grundsaumltzlich ein Einfluss auf die PSA erwartet aller-dings kein nennenswerter Einfluss auf ihre Ergebnisse (weder direkt noch indirekt vgl Abschnitt 22) Hier-von betroffen sind auch die Bereiche die auszligerhalb des Umfangs der als Ausgangsbasis verfuumlgbaren anla-genspezifischen PSA liegen Eine eventuelle Aktualisierung der PSA als Konsequenz von Aumlnderungsmaszlig-nahmen der Kategorie b d h die Integration der durchgefuumlhrten Aumlnderungen in das PSA-Modell sollte tur-nusgemaumlszlig erfolgen (Zeitraum kuumlrzer als SUuml-Zyklus vgl Abschnitt 5)

16

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme

17

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung

Kategorie Einfluss auf die PSA er-wartet

Nennenswer-ter Einfluss auf die Ergeb-nisse der PSA

Probabilistische Bewertung bei Abwicklung der Aumlnderung

Modellierung Aktualisierung PSA

Anmerkungen

a nein nein nein nein

b ja nein weder direkt noch indirekt

nein zu gegebener Zeit In-tegration der Erkennt-nisse aus der Aumlnde-rungsmaszlignahme in die PSA-Modellierung

gegebenenfalls spaumltere bzw zusammenfas-sende Bewertung der Aumlnderungsmaszlig-nahme u U Vorschlaumlge fuumlr Modifikationen im PSA-Modell (vergleichbar betriebsbeglei-tender Pruumlfung)

c ja ja direkt oder indi-rekt

ja in Ergaumlnzung zur deterministischen Bewertung

zeitgleiche zeitnahe Modellierung Aktuali-sierung der PSA-Model-lierung

unmittelbare Ruumlckkopplung zur Aumlnderungs-maszlignahme Voraussetzung konkrete Infor-mationen liegen vor (gegebenenfalls Ergaumln-zung bezuumlglich bisherigem Stand)

18

Eine nachtraumlgliche zusammenfassende probabilistische Bewertung mehrerer realisierter Aumlnderungsmaszlignah-men kann ergaumlnzend durchgefuumlhrt werden Fuumlr realisierte Aumlnderungsmaszlignahmen der Kategorie b wuumlrden sich dadurch u U ndash vergleichbar einer betriebsbegleitenden Pruumlfung und Kontrolle in anderen Bereichen oder der bisherigen Sicherheitsuumlberpruumlfung ndash Vorschlaumlge fuumlr Modifikationen im PSA-Modell ergeben Aumlnderungsmaszlignahmen bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist (Kategorie c) sollen einer probabilistischen Bewertung unterzogen werden Bei diesen Aumlnderungsmaszlignah-men empfiehlt sich eine zeitnahe Aktualisierung der PSA Unter Umstaumlnden ergibt sich fuumlr die probabilisti-sche Bewertung die Veranlassung von Parameter- bzw Sensitivitaumltsstudien wie es z B fuumlr probabilistische Bewertungen vor Genehmigung und Errichtung einer Anlage international uumlblich ist

32 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Fuumlr die zu treffende Entscheidung ob bei konkreten ereignis- bzw anlassbezogenen Fragestellungen proba-bilistische Untersuchungen durchzufuumlhren sind kann in Anlehnung an die beschriebene Vorgehensweise fuumlr die Kategorisierung von Aumlnderungsmaszlignahmen vorgegangen werden Die entsprechenden Kategorien fuumlr ereignis- bzw anlassbezogene Fragestellungen werden im Folgenden mit α β und γ bezeichnet Zur Unter-stuumltzung und nachvollziehbaren Dokumentation koumlnnen ebenfalls die 14 Fragen gemaumlszlig Anhang 1 herange-zogen werden d h es wird uumlberlegt und abgefragt ob z B ein aufgetretenes meldepflichtiges Ereignis Auswirkungen auf das bisherige Spektrum ausloumlsender Ereignisse auf die zugrunde gelegten Wirksamkeits-bedingungen auf die angenommenen Ereignisablaufsequenzen usw haben kann Probabilistische Untersu-chungen derartiger ereignis- bzw anlassbezogener Fragestellungen zielen ebenfalls auf die sicherheitstech-nische Bewertung der Auswirkungen auf das Sicherheitsniveau ab d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strate-gien) Insofern ist die Kategorie α vergleichbar der Kategorie a im Falle von Aumlnderungsmaszlignahmen d h es wird kein Einfluss auf die PSA der Anlage erwartet Wenn von einer ereignis- bzw anlassbezogenen Fragestellung keine nennenswerte Auswirkung auf die je-weils vorliegende PSA erwartet wird faumlllt diese in die Kategorie β Eine eventuelle Aktualisierung der PSA entfaumlllt aufgrund der zeitlichen Beschraumlnkung des Ereignisses bzw des Anlasses vgl auch Abschnitt 52 Fuumlr die Faumllle bei denen fuumlr eine ereignis- bzw anlassbezogene Fragestellung eine nennenswerte Auswir-kung auf die Ergebnisse der vorliegende PSA zu erwarten ist soll in Ergaumlnzung der deterministischen Be-wertung auch eine probabilistische Bewertung durchgefuumlhrt werden Hierbei ist zu beachten dass spezifi-sche Randbedingungen von denen der vorliegenden PSA abweichen koumlnnen Beispiele fuumlr diese Randbe-dingungen sind unter anderem (vgl ENSI 15) bull Die Dauer der Nichtverfuumlgbarkeit einer Komponente bull die der ereignis- bzw anlassbezogenen Fragestellung zugeordnete Anlagenkonfiguration wie zum Bei-

spiel keine weitere Nichtverfuumlgbarkeit aufgrund vorgezogener Instandhaltung oder kompensatorischer Maszlignahmen

bull die aktuell vorliegenden Systemschaltungen die zB eine veraumlnderte Verfuumlgbarkeit eines Systems be-deuten

bull die eventuelle Uumlbertragbarkeit des Anlasses auf weitere Komponenten zB Neubewertung der Verfuumlg-barkeit

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN Die Methoden Vorgehensweisen und Randbedingungen zur Erstellung probabilistischer Analysen im Rah-men der SUuml sind in dem PSA-Leitfaden BA 05 bzw in den zugehoumlrigen Methoden- und Datenbaumlnden METH 05 DAT 05 festgelegt (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) und im Grundsatz auch fuumlr die sicherheitstechnische Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen soweit moumlg-lich und sinnvoll anzuwenden Um die sicherheitstechnisch relevanten Fragestellungen beantworten zu koumln-nen ist es jedoch moumlglicherweise erforderlich detaillierter und realistischer zu modellieren Generell sind die probabilistischen Untersuchungen nur dort anzuwenden wo der Stand der Methodik und die verfuumlgbaren Daten dies erlauben Bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen sind Vorgehen Umfang und Detaillierungsgrad fallbezogen anzupassen Ein solcher gestaffelter Bewertungsansatz wird auch in IAEA GSR Part 4 Kap 3 IAEA 16 beschrieben

19

Im Falle einer detaillierten probabilistischen Bewertung ist eine wesentliche Randbedingung dass die fuumlr probabilistische Untersuchungen verwendeten Modellierungen und Zuverlaumlssigkeitskenngroumlszligen dem aktuel-len Anlagenzustand entsprechen Konkrete Beispiele zur Durchfuumlhrung solcher probabilistischer Untersuchungen sind in Anhang 5 aufgefuumlhrt Moumlgliche Auswirkungen (direkte und indirekte) der zu untersuchenden Fragestellung auf die Modellierung der probabilistischen Untersuchungen sind festzustellen und nachvollziehbar zu dokumentieren Sind von der zu untersuchenden Fragestellung zusaumltzlich nicht analysierte Bereiche bezuumlglich der vorliegenden pro-babilistischen Untersuchungen betroffen ist in geeigneter Weise auf diesen Aspekt einzugehen (vgl auch Abschnitt 32) Fuumlr alle Zustaumlnde (z B vor und nach einer Aumlnderung oder mehrere geplante Strategien) sind abhaumlngig von der zu untersuchenden Fragestellung nachvollziehbare quantitative und qualitative Daten und Informationen bereitzustellen Abhaumlngig von den relevanten Analysesachverhalten betrifft dies z B folgende Daten bzw Informationen bull Zuverlaumlssigkeitskenngroumlszligen bull Nichtverfuumlgbarkeiten und Unsicherheiten von Basisereignissen Fehlerbaumlumen Systemfunktionen Si-

cherheitsfunktionen bull Eintrittshaumlufigkeiten von Ereignisablaufsequenzen ausloumlsenden Ereignissen oder Endzustaumlnden bull Gesamtergebnis (z B Haumlufigkeit von Brennstabschadenszustaumlnden) und bull Importanz und Sensitivitaumlt von Zuverlaumlssigkeitskenngroumlszligen Basisereignissen und -gruppen sowie bull Modellierung des Ausfallverhaltens bull Beruumlcksichtigung und Modellierung von gemeinsam verursachten Ausfaumlllen bull Beruumlcksichtigung und Modellierung von Personalhandlungen bull Beruumlcksichtigung und Bewertung von Unsicherheiten bull Zusammensetzung von Minimalschnitten bull Bewertung von Ereignisablaufsequenzen hinsichtlich ihrer Endzustaumlnde sowie der Uumlbergaumlnge aus rele-

vanten Zwischenzustaumlnden

Ein grundlegender Unterschied bei der sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen im Vergleich zu ereignis- bzw anlassbezogenen Fragestellungen besteht darin dass sich erstere im Allgemei-nen auf eine Aumlnderung des Zustands der Anlage beziehen der andauert und sich auf das ganze Jahr be-zieht waumlhrend letztere sich auf temporaumlre Aumlnderungen beziehen Auch ist bei der sicherheitstechnischen Bewertung ereignis- bzw anlassbezogener Fragestellungen im Allgemeinen der zugrunde zu legende Zeit-raum eingrenzbar Bei probabilistischen Untersuchungen von ereignis- bzw anlassbezogenen Fragestellungen ist weiter zu dif-ferenzieren zwischen aufgetretenen Ereignissen und der Bewertung von Strategien bei mehreren zulaumlssigen Varianten Deshalb sind insbesondere bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen fuumlr ereignis- bzw anlassbezogenen Fragestellungen zeitabhaumlngige Analysen durchzufuumlhren welche die temporaumlren Aumln-derungen in den jeweiligen Zeitraumlumen zutreffend in den Modellierungen beruumlcksichtigen

5 VORGEHEN BEI DER BEWERTUNG Die probabilistische Bewertung der zu untersuchenden Fragestellung ist fallbezogen unter Beruumlcksichtigung der Unsicherheiten fuumlr die verschiedenen Ebenen der Modellierung der probabilistischen Untersuchungen durchzufuumlhren z B fuumlr Zuverlaumlssigkeitskenngroumlszligen Basisereignisse Fehlerbaumlume Systemfunktionen Si-cherheitsfunktionen Ereignisablaufsequenzen ausloumlsende Ereignisse und das Gesamtergebnis vgl auch Abschnitt 4 Daruumlber hinaus liefern die qualitativen Ergebnisse der anlagenspezifischen PSA ergaumlnzende Informationen und systematische Erkenntnisse Dafuumlr koumlnnen die Minimalschnitte der einzelnen Ereignisablaufsequenzen im Hinblick auf ihre Zusammensetzung ihre Beitraumlge sowie ihre jeweiligen Unsicherheiten analysiert wer-den Bei der Analyse und Bewertung der Minimalschnitte sollten administrative Regelungen oder Personal-handlungen besonders beachtet werden insbesondere solche die gewisse Schwaumlchen in der Anlagenaus-legung kompensieren sollen

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 14: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

13

1 ZIELSETZUNGEN PROBABILISTISCHER BEWERTUNGEN AUSSERHALB DER SUuml Probabilistische Untersuchungen zur gesamtheitlichen Bewertung konkreter sicherheitstechnischer Frage-stellungen auszligerhalb der SUuml koumlnnen durchgefuumlhrt werden um ergaumlnzend zur deterministischen Nachweis-fuumlhrung zusaumltzliche Erkenntnisse mit diesem im Vergleich zu einer deterministischen Vorgehensweise me-thodisch anderen Ansatz zu gewinnen Damit koumlnnen gegebenenfalls zusaumltzliche sicherheitsrelevante Er-kenntnisse zur Unterstuumltzung von Entscheidungsprozessen identifiziert und bewertet werden

2 ANWENDUNGSGEBIETE 21 ALLGEMEINES Uumlber die Nutzung probabilistischer Untersuchungen in den wiederkehrenden SUuml hinaus koumlnnen probabilisti-sche Untersuchungen in folgenden Anwendungsgebieten zum Einsatz kommen bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Mit einer probabilistischen Bewertung kann ihre sicherheitstechnische Relevanz gezeigt werden d h welche Auswirkung die jeweilige Aumlnderung auf das Sicherheitsniveau einer Anlage hat

bull Ereignisse oder Anlaumlsse aus dem Betrieb der Anlage d h Erkenntnisse die aus aufgetretenen sicher-heitsrelevanten Ereignissen oder Phaumlnomenen bekannt geworden sind Diese koumlnnen sich z B auf Mel-depflichtige Ereignisse (ME) Stoumlrungen betriebliche Ausfaumllle Instandsetzungszeiten festzulegende Strategien bei mehreren zulaumlssigen Varianten oder temporaumlre Modifikationen von Hardware-Konfigurati-onen beziehen Die Anwendung probabilistischer Methoden bei derartigen ereignis- bzw anlassbezogenen Fragestellun-gen zielt ebenfalls auf die sicherheitstechnische Bewertung der Auswirkungen auf das Sicherheitsni-veau d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung ab (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strategien)

Die unterschiedlichen Anwendungsgebiete sind in den Abschnitten 22 und 3 charakterisiert

22 VORGEHENSWEISE Es soll die Frage beantwortet werden ob bull Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage oder bull zu bewertende ereignis- bzw anlassbezogene Fragestellungen einen nennenswerten Einfluss auf die Ergebnisse der PSA erwarten lassen Dies erfordert nicht immer die Durchfuumlhrung von umfangreichen probabilistischen Bewertungen Daher wird hierfuumlr ein gestaffeltes Verfah-ren vorgeschlagen (vgl Screening-Prozess in Abschnitt 3) um nachvollziehbar einordnen und festlegen zu koumlnnen ob derartige ergaumlnzende probabilistische Bewertungen durchzufuumlhren sind Ein zu erwartender Einfluss kann dahingehend bewertet werden in welchem Umfang er eine Veraumlnderung des probabilistischen Ergebnisses zur Folge hat und wie sich diese Aumlnderung gegenuumlber Orientierungswer-ten (vgl Angaben in der RSK-Stellungnahme aus der 460 Sitzung bdquoRSK-Verstaumlndnis der Sicherheitsphiloso-phie RSK 13) darstellt Was ein bdquonennenswerter Einflussldquo ist sollte im Einzelfall begruumlndet werden In einem ersten Schritt ist es oft ausreichend mit Hilfe eines Fragebogens (wie z B in Anhang 1) und ver-einfachten Methoden Bewertungen vorzunehmen Im Rahmen der Anwendung probabilistischer Methoden kann gegebenenfalls in einem zweiten Schritt zur Feststellung der moumlglichen Auswirkungen der betrachteten sicherheitstechnischen Fragestellung auf die PSA-Modellierung eine detaillierte Fragenliste (vgl Anhang 2) als systematisches Hilfsmittel herangezogen werden Dabei ist zu beachten dass die Auswirkungen z T direkt analysiert werden koumlnnen z T jedoch nur indirekt feststell- und bewertbar sind (z B ob das Ausfallverhalten einer passiven Komponente die von der sicherheitstechnischen Fragestellung betroffen ist weiterhin als numerisch vernachlaumlssigbar gegenuumlber dem Ausfallverhalten aktiver Komponenten angenommen werden kann)

14

Als Ergebnis dieser Untersuchung bull kann der Teil der PSA-Modellierung identifiziert werden der von der sicherheitstechnischen Fragestel-

lung betroffen ist bull koumlnnen die Teile der PSA festgestellt werden die modifiziert werden sollten bull koumlnnen die Analysen identifiziert werden die zur ergaumlnzenden probabilistischen Bewertung der sicher-

heitstechnischen Fragestellung durchgefuumlhrt werden sollten

Auszligerdem koumlnnen anhand dieser Untersuchung der Umfang und die Tiefe der notwendigen Analysen ermit-telt werden Im Hinblick auf den Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifischen PSA die derzeit be-stimmte Bereiche nicht enthalten ist zunaumlchst qualitativ zu untersuchen (vgl Anhang 2) ob die sicherheits-technische Fragestellung diese nicht analysierten Bereiche beeinflusst Ist das der Fall sind danach abde-ckende auch qualitative Betrachtungen oder gegebenenfalls Sensitivitaumltsuntersuchungen durchzufuumlhren (vgl Anhang 4) wobei auch deterministische Zuverlaumlssigkeitsprinzipien wie die Bewertung von z B Redun-danz Diversitaumlt oder vorgesehenen Maszlignahmen fuumlr die nicht analysierten Bereiche herangezogen werden koumlnnen Wichtig ist dass auf diesen Aspekt eingegangen wird und nicht der moumlglicherweise unzutreffende Ruumlckschluss gezogen wird dass Auswirkungen sicherheitstechnischer Fragestellungen nicht risikorelevant seien weil sie in den anlagenspezifischen PSA derzeit nicht analysierte Bereiche beeinflussen Zur Bewertung der Auswirkungen der sicherheitstechnischen Fragestellung kann es notwendig sein den De-taillierungsgrad d h Modellierungstiefe und -umfang der anlagenspezifischen PSA zu vergroumlszligern oder zu ergaumlnzen (z B modulare Darstellung leittechnischer Systemfunktionen Beruumlcksichtigung passiver Kompo-nenten) Die Modifikationen koumlnnen entweder im PSA-Modell selbst erfolgen oder moumlgliche Auswirkungen koumlnnen durch Sensitivitaumltsanalysen eingegrenzt oder durch qualitative Betrachtungen bewertet werden Nachdem die moumlglichen Auswirkungen der sicherheitstechnischen Fragestellungen auf die PSA-Modellie-rung ermittelt worden sind sind gegebenenfalls die entsprechenden Modifikationen in der Modellierung der zugrundeliegenden PSA die als Ausgangsbasis herangezogen wird durchzufuumlhren und zu dokumentieren Fuumlr eine effiziente Abwicklung sollten Prozeduren unter Einbeziehung notwendiger Gesichtspunkte der Qua-litaumltssicherung Anwendung finden vgl z B Anhang 3

15

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS Ein Screening-Prozess sollte fuumlr die in Abschnitt 2 genannten Anwendungsgebiete durchgefuumlhrt werden

31 AumlNDERUNGSMAszligNAHMEN Fuumlr Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage nachfolgend kurz Aumlnde-rungsmaszlignahmen genannt sollte eine Einordnung in drei Kategorien vorgenommen werden die den zu er-wartenden Einfluss auf die PSA angeben Diese Kategorien sind in Tabelle 1 und Abbildung 1 definiert sie werden mit a b und c bezeichnet Von Aumlnderungsmaszlignahmen der Kategorie a wird kein Einfluss auf die PSA erwartet Kriterien nach denen eine Zuordnung zur Kategorie a vorgenommen werden kann sind bull Es werden Komponenten oder Teile davon gegen gleichwertige ausgetauscht In diesem Fall sind in der

PSA die gleichen Zuverlaumlssigkeitskenngroumlszligen zu verwenden wie bisher und das Ergebnis kann sich nicht aumlndern Dies gilt nicht wenn sich der Komponententyp aumlndert z B Ersetzung einer Klappe durch einen Schieber

bull Es handelt sich um eine Reparaturmaszlignahme bei der der Sollzustand wieder hergestellt wird bull Es handelt sich um eine Ersatzteilbeschaffung bull Es handelt sich um Brennelement-Antransport -Abtransport oder -Einlagerung bull Es handelt sich um eine Aumlnderung der Dokumentation Eine gegebenenfalls zugrunde liegende Anla-

genaumlnderung ist dagegen zu betrachten

Im Weiteren koumlnnen zur Unterstuumltzung und nachvollziehbaren Dokumentation der Zuordnung zu den Kate-gorien die 14 Fragen gemaumlszlig Anhang 1 herangezogen werden Von Aumlnderungsmaszlignahmen der Kategorie b wird zwar grundsaumltzlich ein Einfluss auf die PSA erwartet aller-dings kein nennenswerter Einfluss auf ihre Ergebnisse (weder direkt noch indirekt vgl Abschnitt 22) Hier-von betroffen sind auch die Bereiche die auszligerhalb des Umfangs der als Ausgangsbasis verfuumlgbaren anla-genspezifischen PSA liegen Eine eventuelle Aktualisierung der PSA als Konsequenz von Aumlnderungsmaszlig-nahmen der Kategorie b d h die Integration der durchgefuumlhrten Aumlnderungen in das PSA-Modell sollte tur-nusgemaumlszlig erfolgen (Zeitraum kuumlrzer als SUuml-Zyklus vgl Abschnitt 5)

16

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme

17

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung

Kategorie Einfluss auf die PSA er-wartet

Nennenswer-ter Einfluss auf die Ergeb-nisse der PSA

Probabilistische Bewertung bei Abwicklung der Aumlnderung

Modellierung Aktualisierung PSA

Anmerkungen

a nein nein nein nein

b ja nein weder direkt noch indirekt

nein zu gegebener Zeit In-tegration der Erkennt-nisse aus der Aumlnde-rungsmaszlignahme in die PSA-Modellierung

gegebenenfalls spaumltere bzw zusammenfas-sende Bewertung der Aumlnderungsmaszlig-nahme u U Vorschlaumlge fuumlr Modifikationen im PSA-Modell (vergleichbar betriebsbeglei-tender Pruumlfung)

c ja ja direkt oder indi-rekt

ja in Ergaumlnzung zur deterministischen Bewertung

zeitgleiche zeitnahe Modellierung Aktuali-sierung der PSA-Model-lierung

unmittelbare Ruumlckkopplung zur Aumlnderungs-maszlignahme Voraussetzung konkrete Infor-mationen liegen vor (gegebenenfalls Ergaumln-zung bezuumlglich bisherigem Stand)

18

Eine nachtraumlgliche zusammenfassende probabilistische Bewertung mehrerer realisierter Aumlnderungsmaszlignah-men kann ergaumlnzend durchgefuumlhrt werden Fuumlr realisierte Aumlnderungsmaszlignahmen der Kategorie b wuumlrden sich dadurch u U ndash vergleichbar einer betriebsbegleitenden Pruumlfung und Kontrolle in anderen Bereichen oder der bisherigen Sicherheitsuumlberpruumlfung ndash Vorschlaumlge fuumlr Modifikationen im PSA-Modell ergeben Aumlnderungsmaszlignahmen bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist (Kategorie c) sollen einer probabilistischen Bewertung unterzogen werden Bei diesen Aumlnderungsmaszlignah-men empfiehlt sich eine zeitnahe Aktualisierung der PSA Unter Umstaumlnden ergibt sich fuumlr die probabilisti-sche Bewertung die Veranlassung von Parameter- bzw Sensitivitaumltsstudien wie es z B fuumlr probabilistische Bewertungen vor Genehmigung und Errichtung einer Anlage international uumlblich ist

32 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Fuumlr die zu treffende Entscheidung ob bei konkreten ereignis- bzw anlassbezogenen Fragestellungen proba-bilistische Untersuchungen durchzufuumlhren sind kann in Anlehnung an die beschriebene Vorgehensweise fuumlr die Kategorisierung von Aumlnderungsmaszlignahmen vorgegangen werden Die entsprechenden Kategorien fuumlr ereignis- bzw anlassbezogene Fragestellungen werden im Folgenden mit α β und γ bezeichnet Zur Unter-stuumltzung und nachvollziehbaren Dokumentation koumlnnen ebenfalls die 14 Fragen gemaumlszlig Anhang 1 herange-zogen werden d h es wird uumlberlegt und abgefragt ob z B ein aufgetretenes meldepflichtiges Ereignis Auswirkungen auf das bisherige Spektrum ausloumlsender Ereignisse auf die zugrunde gelegten Wirksamkeits-bedingungen auf die angenommenen Ereignisablaufsequenzen usw haben kann Probabilistische Untersu-chungen derartiger ereignis- bzw anlassbezogener Fragestellungen zielen ebenfalls auf die sicherheitstech-nische Bewertung der Auswirkungen auf das Sicherheitsniveau ab d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strate-gien) Insofern ist die Kategorie α vergleichbar der Kategorie a im Falle von Aumlnderungsmaszlignahmen d h es wird kein Einfluss auf die PSA der Anlage erwartet Wenn von einer ereignis- bzw anlassbezogenen Fragestellung keine nennenswerte Auswirkung auf die je-weils vorliegende PSA erwartet wird faumlllt diese in die Kategorie β Eine eventuelle Aktualisierung der PSA entfaumlllt aufgrund der zeitlichen Beschraumlnkung des Ereignisses bzw des Anlasses vgl auch Abschnitt 52 Fuumlr die Faumllle bei denen fuumlr eine ereignis- bzw anlassbezogene Fragestellung eine nennenswerte Auswir-kung auf die Ergebnisse der vorliegende PSA zu erwarten ist soll in Ergaumlnzung der deterministischen Be-wertung auch eine probabilistische Bewertung durchgefuumlhrt werden Hierbei ist zu beachten dass spezifi-sche Randbedingungen von denen der vorliegenden PSA abweichen koumlnnen Beispiele fuumlr diese Randbe-dingungen sind unter anderem (vgl ENSI 15) bull Die Dauer der Nichtverfuumlgbarkeit einer Komponente bull die der ereignis- bzw anlassbezogenen Fragestellung zugeordnete Anlagenkonfiguration wie zum Bei-

spiel keine weitere Nichtverfuumlgbarkeit aufgrund vorgezogener Instandhaltung oder kompensatorischer Maszlignahmen

bull die aktuell vorliegenden Systemschaltungen die zB eine veraumlnderte Verfuumlgbarkeit eines Systems be-deuten

bull die eventuelle Uumlbertragbarkeit des Anlasses auf weitere Komponenten zB Neubewertung der Verfuumlg-barkeit

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN Die Methoden Vorgehensweisen und Randbedingungen zur Erstellung probabilistischer Analysen im Rah-men der SUuml sind in dem PSA-Leitfaden BA 05 bzw in den zugehoumlrigen Methoden- und Datenbaumlnden METH 05 DAT 05 festgelegt (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) und im Grundsatz auch fuumlr die sicherheitstechnische Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen soweit moumlg-lich und sinnvoll anzuwenden Um die sicherheitstechnisch relevanten Fragestellungen beantworten zu koumln-nen ist es jedoch moumlglicherweise erforderlich detaillierter und realistischer zu modellieren Generell sind die probabilistischen Untersuchungen nur dort anzuwenden wo der Stand der Methodik und die verfuumlgbaren Daten dies erlauben Bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen sind Vorgehen Umfang und Detaillierungsgrad fallbezogen anzupassen Ein solcher gestaffelter Bewertungsansatz wird auch in IAEA GSR Part 4 Kap 3 IAEA 16 beschrieben

19

Im Falle einer detaillierten probabilistischen Bewertung ist eine wesentliche Randbedingung dass die fuumlr probabilistische Untersuchungen verwendeten Modellierungen und Zuverlaumlssigkeitskenngroumlszligen dem aktuel-len Anlagenzustand entsprechen Konkrete Beispiele zur Durchfuumlhrung solcher probabilistischer Untersuchungen sind in Anhang 5 aufgefuumlhrt Moumlgliche Auswirkungen (direkte und indirekte) der zu untersuchenden Fragestellung auf die Modellierung der probabilistischen Untersuchungen sind festzustellen und nachvollziehbar zu dokumentieren Sind von der zu untersuchenden Fragestellung zusaumltzlich nicht analysierte Bereiche bezuumlglich der vorliegenden pro-babilistischen Untersuchungen betroffen ist in geeigneter Weise auf diesen Aspekt einzugehen (vgl auch Abschnitt 32) Fuumlr alle Zustaumlnde (z B vor und nach einer Aumlnderung oder mehrere geplante Strategien) sind abhaumlngig von der zu untersuchenden Fragestellung nachvollziehbare quantitative und qualitative Daten und Informationen bereitzustellen Abhaumlngig von den relevanten Analysesachverhalten betrifft dies z B folgende Daten bzw Informationen bull Zuverlaumlssigkeitskenngroumlszligen bull Nichtverfuumlgbarkeiten und Unsicherheiten von Basisereignissen Fehlerbaumlumen Systemfunktionen Si-

cherheitsfunktionen bull Eintrittshaumlufigkeiten von Ereignisablaufsequenzen ausloumlsenden Ereignissen oder Endzustaumlnden bull Gesamtergebnis (z B Haumlufigkeit von Brennstabschadenszustaumlnden) und bull Importanz und Sensitivitaumlt von Zuverlaumlssigkeitskenngroumlszligen Basisereignissen und -gruppen sowie bull Modellierung des Ausfallverhaltens bull Beruumlcksichtigung und Modellierung von gemeinsam verursachten Ausfaumlllen bull Beruumlcksichtigung und Modellierung von Personalhandlungen bull Beruumlcksichtigung und Bewertung von Unsicherheiten bull Zusammensetzung von Minimalschnitten bull Bewertung von Ereignisablaufsequenzen hinsichtlich ihrer Endzustaumlnde sowie der Uumlbergaumlnge aus rele-

vanten Zwischenzustaumlnden

Ein grundlegender Unterschied bei der sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen im Vergleich zu ereignis- bzw anlassbezogenen Fragestellungen besteht darin dass sich erstere im Allgemei-nen auf eine Aumlnderung des Zustands der Anlage beziehen der andauert und sich auf das ganze Jahr be-zieht waumlhrend letztere sich auf temporaumlre Aumlnderungen beziehen Auch ist bei der sicherheitstechnischen Bewertung ereignis- bzw anlassbezogener Fragestellungen im Allgemeinen der zugrunde zu legende Zeit-raum eingrenzbar Bei probabilistischen Untersuchungen von ereignis- bzw anlassbezogenen Fragestellungen ist weiter zu dif-ferenzieren zwischen aufgetretenen Ereignissen und der Bewertung von Strategien bei mehreren zulaumlssigen Varianten Deshalb sind insbesondere bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen fuumlr ereignis- bzw anlassbezogenen Fragestellungen zeitabhaumlngige Analysen durchzufuumlhren welche die temporaumlren Aumln-derungen in den jeweiligen Zeitraumlumen zutreffend in den Modellierungen beruumlcksichtigen

5 VORGEHEN BEI DER BEWERTUNG Die probabilistische Bewertung der zu untersuchenden Fragestellung ist fallbezogen unter Beruumlcksichtigung der Unsicherheiten fuumlr die verschiedenen Ebenen der Modellierung der probabilistischen Untersuchungen durchzufuumlhren z B fuumlr Zuverlaumlssigkeitskenngroumlszligen Basisereignisse Fehlerbaumlume Systemfunktionen Si-cherheitsfunktionen Ereignisablaufsequenzen ausloumlsende Ereignisse und das Gesamtergebnis vgl auch Abschnitt 4 Daruumlber hinaus liefern die qualitativen Ergebnisse der anlagenspezifischen PSA ergaumlnzende Informationen und systematische Erkenntnisse Dafuumlr koumlnnen die Minimalschnitte der einzelnen Ereignisablaufsequenzen im Hinblick auf ihre Zusammensetzung ihre Beitraumlge sowie ihre jeweiligen Unsicherheiten analysiert wer-den Bei der Analyse und Bewertung der Minimalschnitte sollten administrative Regelungen oder Personal-handlungen besonders beachtet werden insbesondere solche die gewisse Schwaumlchen in der Anlagenaus-legung kompensieren sollen

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 15: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

14

Als Ergebnis dieser Untersuchung bull kann der Teil der PSA-Modellierung identifiziert werden der von der sicherheitstechnischen Fragestel-

lung betroffen ist bull koumlnnen die Teile der PSA festgestellt werden die modifiziert werden sollten bull koumlnnen die Analysen identifiziert werden die zur ergaumlnzenden probabilistischen Bewertung der sicher-

heitstechnischen Fragestellung durchgefuumlhrt werden sollten

Auszligerdem koumlnnen anhand dieser Untersuchung der Umfang und die Tiefe der notwendigen Analysen ermit-telt werden Im Hinblick auf den Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifischen PSA die derzeit be-stimmte Bereiche nicht enthalten ist zunaumlchst qualitativ zu untersuchen (vgl Anhang 2) ob die sicherheits-technische Fragestellung diese nicht analysierten Bereiche beeinflusst Ist das der Fall sind danach abde-ckende auch qualitative Betrachtungen oder gegebenenfalls Sensitivitaumltsuntersuchungen durchzufuumlhren (vgl Anhang 4) wobei auch deterministische Zuverlaumlssigkeitsprinzipien wie die Bewertung von z B Redun-danz Diversitaumlt oder vorgesehenen Maszlignahmen fuumlr die nicht analysierten Bereiche herangezogen werden koumlnnen Wichtig ist dass auf diesen Aspekt eingegangen wird und nicht der moumlglicherweise unzutreffende Ruumlckschluss gezogen wird dass Auswirkungen sicherheitstechnischer Fragestellungen nicht risikorelevant seien weil sie in den anlagenspezifischen PSA derzeit nicht analysierte Bereiche beeinflussen Zur Bewertung der Auswirkungen der sicherheitstechnischen Fragestellung kann es notwendig sein den De-taillierungsgrad d h Modellierungstiefe und -umfang der anlagenspezifischen PSA zu vergroumlszligern oder zu ergaumlnzen (z B modulare Darstellung leittechnischer Systemfunktionen Beruumlcksichtigung passiver Kompo-nenten) Die Modifikationen koumlnnen entweder im PSA-Modell selbst erfolgen oder moumlgliche Auswirkungen koumlnnen durch Sensitivitaumltsanalysen eingegrenzt oder durch qualitative Betrachtungen bewertet werden Nachdem die moumlglichen Auswirkungen der sicherheitstechnischen Fragestellungen auf die PSA-Modellie-rung ermittelt worden sind sind gegebenenfalls die entsprechenden Modifikationen in der Modellierung der zugrundeliegenden PSA die als Ausgangsbasis herangezogen wird durchzufuumlhren und zu dokumentieren Fuumlr eine effiziente Abwicklung sollten Prozeduren unter Einbeziehung notwendiger Gesichtspunkte der Qua-litaumltssicherung Anwendung finden vgl z B Anhang 3

15

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS Ein Screening-Prozess sollte fuumlr die in Abschnitt 2 genannten Anwendungsgebiete durchgefuumlhrt werden

31 AumlNDERUNGSMAszligNAHMEN Fuumlr Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage nachfolgend kurz Aumlnde-rungsmaszlignahmen genannt sollte eine Einordnung in drei Kategorien vorgenommen werden die den zu er-wartenden Einfluss auf die PSA angeben Diese Kategorien sind in Tabelle 1 und Abbildung 1 definiert sie werden mit a b und c bezeichnet Von Aumlnderungsmaszlignahmen der Kategorie a wird kein Einfluss auf die PSA erwartet Kriterien nach denen eine Zuordnung zur Kategorie a vorgenommen werden kann sind bull Es werden Komponenten oder Teile davon gegen gleichwertige ausgetauscht In diesem Fall sind in der

PSA die gleichen Zuverlaumlssigkeitskenngroumlszligen zu verwenden wie bisher und das Ergebnis kann sich nicht aumlndern Dies gilt nicht wenn sich der Komponententyp aumlndert z B Ersetzung einer Klappe durch einen Schieber

bull Es handelt sich um eine Reparaturmaszlignahme bei der der Sollzustand wieder hergestellt wird bull Es handelt sich um eine Ersatzteilbeschaffung bull Es handelt sich um Brennelement-Antransport -Abtransport oder -Einlagerung bull Es handelt sich um eine Aumlnderung der Dokumentation Eine gegebenenfalls zugrunde liegende Anla-

genaumlnderung ist dagegen zu betrachten

Im Weiteren koumlnnen zur Unterstuumltzung und nachvollziehbaren Dokumentation der Zuordnung zu den Kate-gorien die 14 Fragen gemaumlszlig Anhang 1 herangezogen werden Von Aumlnderungsmaszlignahmen der Kategorie b wird zwar grundsaumltzlich ein Einfluss auf die PSA erwartet aller-dings kein nennenswerter Einfluss auf ihre Ergebnisse (weder direkt noch indirekt vgl Abschnitt 22) Hier-von betroffen sind auch die Bereiche die auszligerhalb des Umfangs der als Ausgangsbasis verfuumlgbaren anla-genspezifischen PSA liegen Eine eventuelle Aktualisierung der PSA als Konsequenz von Aumlnderungsmaszlig-nahmen der Kategorie b d h die Integration der durchgefuumlhrten Aumlnderungen in das PSA-Modell sollte tur-nusgemaumlszlig erfolgen (Zeitraum kuumlrzer als SUuml-Zyklus vgl Abschnitt 5)

16

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme

17

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung

Kategorie Einfluss auf die PSA er-wartet

Nennenswer-ter Einfluss auf die Ergeb-nisse der PSA

Probabilistische Bewertung bei Abwicklung der Aumlnderung

Modellierung Aktualisierung PSA

Anmerkungen

a nein nein nein nein

b ja nein weder direkt noch indirekt

nein zu gegebener Zeit In-tegration der Erkennt-nisse aus der Aumlnde-rungsmaszlignahme in die PSA-Modellierung

gegebenenfalls spaumltere bzw zusammenfas-sende Bewertung der Aumlnderungsmaszlig-nahme u U Vorschlaumlge fuumlr Modifikationen im PSA-Modell (vergleichbar betriebsbeglei-tender Pruumlfung)

c ja ja direkt oder indi-rekt

ja in Ergaumlnzung zur deterministischen Bewertung

zeitgleiche zeitnahe Modellierung Aktuali-sierung der PSA-Model-lierung

unmittelbare Ruumlckkopplung zur Aumlnderungs-maszlignahme Voraussetzung konkrete Infor-mationen liegen vor (gegebenenfalls Ergaumln-zung bezuumlglich bisherigem Stand)

18

Eine nachtraumlgliche zusammenfassende probabilistische Bewertung mehrerer realisierter Aumlnderungsmaszlignah-men kann ergaumlnzend durchgefuumlhrt werden Fuumlr realisierte Aumlnderungsmaszlignahmen der Kategorie b wuumlrden sich dadurch u U ndash vergleichbar einer betriebsbegleitenden Pruumlfung und Kontrolle in anderen Bereichen oder der bisherigen Sicherheitsuumlberpruumlfung ndash Vorschlaumlge fuumlr Modifikationen im PSA-Modell ergeben Aumlnderungsmaszlignahmen bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist (Kategorie c) sollen einer probabilistischen Bewertung unterzogen werden Bei diesen Aumlnderungsmaszlignah-men empfiehlt sich eine zeitnahe Aktualisierung der PSA Unter Umstaumlnden ergibt sich fuumlr die probabilisti-sche Bewertung die Veranlassung von Parameter- bzw Sensitivitaumltsstudien wie es z B fuumlr probabilistische Bewertungen vor Genehmigung und Errichtung einer Anlage international uumlblich ist

32 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Fuumlr die zu treffende Entscheidung ob bei konkreten ereignis- bzw anlassbezogenen Fragestellungen proba-bilistische Untersuchungen durchzufuumlhren sind kann in Anlehnung an die beschriebene Vorgehensweise fuumlr die Kategorisierung von Aumlnderungsmaszlignahmen vorgegangen werden Die entsprechenden Kategorien fuumlr ereignis- bzw anlassbezogene Fragestellungen werden im Folgenden mit α β und γ bezeichnet Zur Unter-stuumltzung und nachvollziehbaren Dokumentation koumlnnen ebenfalls die 14 Fragen gemaumlszlig Anhang 1 herange-zogen werden d h es wird uumlberlegt und abgefragt ob z B ein aufgetretenes meldepflichtiges Ereignis Auswirkungen auf das bisherige Spektrum ausloumlsender Ereignisse auf die zugrunde gelegten Wirksamkeits-bedingungen auf die angenommenen Ereignisablaufsequenzen usw haben kann Probabilistische Untersu-chungen derartiger ereignis- bzw anlassbezogener Fragestellungen zielen ebenfalls auf die sicherheitstech-nische Bewertung der Auswirkungen auf das Sicherheitsniveau ab d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strate-gien) Insofern ist die Kategorie α vergleichbar der Kategorie a im Falle von Aumlnderungsmaszlignahmen d h es wird kein Einfluss auf die PSA der Anlage erwartet Wenn von einer ereignis- bzw anlassbezogenen Fragestellung keine nennenswerte Auswirkung auf die je-weils vorliegende PSA erwartet wird faumlllt diese in die Kategorie β Eine eventuelle Aktualisierung der PSA entfaumlllt aufgrund der zeitlichen Beschraumlnkung des Ereignisses bzw des Anlasses vgl auch Abschnitt 52 Fuumlr die Faumllle bei denen fuumlr eine ereignis- bzw anlassbezogene Fragestellung eine nennenswerte Auswir-kung auf die Ergebnisse der vorliegende PSA zu erwarten ist soll in Ergaumlnzung der deterministischen Be-wertung auch eine probabilistische Bewertung durchgefuumlhrt werden Hierbei ist zu beachten dass spezifi-sche Randbedingungen von denen der vorliegenden PSA abweichen koumlnnen Beispiele fuumlr diese Randbe-dingungen sind unter anderem (vgl ENSI 15) bull Die Dauer der Nichtverfuumlgbarkeit einer Komponente bull die der ereignis- bzw anlassbezogenen Fragestellung zugeordnete Anlagenkonfiguration wie zum Bei-

spiel keine weitere Nichtverfuumlgbarkeit aufgrund vorgezogener Instandhaltung oder kompensatorischer Maszlignahmen

bull die aktuell vorliegenden Systemschaltungen die zB eine veraumlnderte Verfuumlgbarkeit eines Systems be-deuten

bull die eventuelle Uumlbertragbarkeit des Anlasses auf weitere Komponenten zB Neubewertung der Verfuumlg-barkeit

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN Die Methoden Vorgehensweisen und Randbedingungen zur Erstellung probabilistischer Analysen im Rah-men der SUuml sind in dem PSA-Leitfaden BA 05 bzw in den zugehoumlrigen Methoden- und Datenbaumlnden METH 05 DAT 05 festgelegt (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) und im Grundsatz auch fuumlr die sicherheitstechnische Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen soweit moumlg-lich und sinnvoll anzuwenden Um die sicherheitstechnisch relevanten Fragestellungen beantworten zu koumln-nen ist es jedoch moumlglicherweise erforderlich detaillierter und realistischer zu modellieren Generell sind die probabilistischen Untersuchungen nur dort anzuwenden wo der Stand der Methodik und die verfuumlgbaren Daten dies erlauben Bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen sind Vorgehen Umfang und Detaillierungsgrad fallbezogen anzupassen Ein solcher gestaffelter Bewertungsansatz wird auch in IAEA GSR Part 4 Kap 3 IAEA 16 beschrieben

19

Im Falle einer detaillierten probabilistischen Bewertung ist eine wesentliche Randbedingung dass die fuumlr probabilistische Untersuchungen verwendeten Modellierungen und Zuverlaumlssigkeitskenngroumlszligen dem aktuel-len Anlagenzustand entsprechen Konkrete Beispiele zur Durchfuumlhrung solcher probabilistischer Untersuchungen sind in Anhang 5 aufgefuumlhrt Moumlgliche Auswirkungen (direkte und indirekte) der zu untersuchenden Fragestellung auf die Modellierung der probabilistischen Untersuchungen sind festzustellen und nachvollziehbar zu dokumentieren Sind von der zu untersuchenden Fragestellung zusaumltzlich nicht analysierte Bereiche bezuumlglich der vorliegenden pro-babilistischen Untersuchungen betroffen ist in geeigneter Weise auf diesen Aspekt einzugehen (vgl auch Abschnitt 32) Fuumlr alle Zustaumlnde (z B vor und nach einer Aumlnderung oder mehrere geplante Strategien) sind abhaumlngig von der zu untersuchenden Fragestellung nachvollziehbare quantitative und qualitative Daten und Informationen bereitzustellen Abhaumlngig von den relevanten Analysesachverhalten betrifft dies z B folgende Daten bzw Informationen bull Zuverlaumlssigkeitskenngroumlszligen bull Nichtverfuumlgbarkeiten und Unsicherheiten von Basisereignissen Fehlerbaumlumen Systemfunktionen Si-

cherheitsfunktionen bull Eintrittshaumlufigkeiten von Ereignisablaufsequenzen ausloumlsenden Ereignissen oder Endzustaumlnden bull Gesamtergebnis (z B Haumlufigkeit von Brennstabschadenszustaumlnden) und bull Importanz und Sensitivitaumlt von Zuverlaumlssigkeitskenngroumlszligen Basisereignissen und -gruppen sowie bull Modellierung des Ausfallverhaltens bull Beruumlcksichtigung und Modellierung von gemeinsam verursachten Ausfaumlllen bull Beruumlcksichtigung und Modellierung von Personalhandlungen bull Beruumlcksichtigung und Bewertung von Unsicherheiten bull Zusammensetzung von Minimalschnitten bull Bewertung von Ereignisablaufsequenzen hinsichtlich ihrer Endzustaumlnde sowie der Uumlbergaumlnge aus rele-

vanten Zwischenzustaumlnden

Ein grundlegender Unterschied bei der sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen im Vergleich zu ereignis- bzw anlassbezogenen Fragestellungen besteht darin dass sich erstere im Allgemei-nen auf eine Aumlnderung des Zustands der Anlage beziehen der andauert und sich auf das ganze Jahr be-zieht waumlhrend letztere sich auf temporaumlre Aumlnderungen beziehen Auch ist bei der sicherheitstechnischen Bewertung ereignis- bzw anlassbezogener Fragestellungen im Allgemeinen der zugrunde zu legende Zeit-raum eingrenzbar Bei probabilistischen Untersuchungen von ereignis- bzw anlassbezogenen Fragestellungen ist weiter zu dif-ferenzieren zwischen aufgetretenen Ereignissen und der Bewertung von Strategien bei mehreren zulaumlssigen Varianten Deshalb sind insbesondere bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen fuumlr ereignis- bzw anlassbezogenen Fragestellungen zeitabhaumlngige Analysen durchzufuumlhren welche die temporaumlren Aumln-derungen in den jeweiligen Zeitraumlumen zutreffend in den Modellierungen beruumlcksichtigen

5 VORGEHEN BEI DER BEWERTUNG Die probabilistische Bewertung der zu untersuchenden Fragestellung ist fallbezogen unter Beruumlcksichtigung der Unsicherheiten fuumlr die verschiedenen Ebenen der Modellierung der probabilistischen Untersuchungen durchzufuumlhren z B fuumlr Zuverlaumlssigkeitskenngroumlszligen Basisereignisse Fehlerbaumlume Systemfunktionen Si-cherheitsfunktionen Ereignisablaufsequenzen ausloumlsende Ereignisse und das Gesamtergebnis vgl auch Abschnitt 4 Daruumlber hinaus liefern die qualitativen Ergebnisse der anlagenspezifischen PSA ergaumlnzende Informationen und systematische Erkenntnisse Dafuumlr koumlnnen die Minimalschnitte der einzelnen Ereignisablaufsequenzen im Hinblick auf ihre Zusammensetzung ihre Beitraumlge sowie ihre jeweiligen Unsicherheiten analysiert wer-den Bei der Analyse und Bewertung der Minimalschnitte sollten administrative Regelungen oder Personal-handlungen besonders beachtet werden insbesondere solche die gewisse Schwaumlchen in der Anlagenaus-legung kompensieren sollen

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 16: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

15

3 BEISPIEL FUumlR EINEN SCREENING-PROZESS Ein Screening-Prozess sollte fuumlr die in Abschnitt 2 genannten Anwendungsgebiete durchgefuumlhrt werden

31 AumlNDERUNGSMAszligNAHMEN Fuumlr Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage nachfolgend kurz Aumlnde-rungsmaszlignahmen genannt sollte eine Einordnung in drei Kategorien vorgenommen werden die den zu er-wartenden Einfluss auf die PSA angeben Diese Kategorien sind in Tabelle 1 und Abbildung 1 definiert sie werden mit a b und c bezeichnet Von Aumlnderungsmaszlignahmen der Kategorie a wird kein Einfluss auf die PSA erwartet Kriterien nach denen eine Zuordnung zur Kategorie a vorgenommen werden kann sind bull Es werden Komponenten oder Teile davon gegen gleichwertige ausgetauscht In diesem Fall sind in der

PSA die gleichen Zuverlaumlssigkeitskenngroumlszligen zu verwenden wie bisher und das Ergebnis kann sich nicht aumlndern Dies gilt nicht wenn sich der Komponententyp aumlndert z B Ersetzung einer Klappe durch einen Schieber

bull Es handelt sich um eine Reparaturmaszlignahme bei der der Sollzustand wieder hergestellt wird bull Es handelt sich um eine Ersatzteilbeschaffung bull Es handelt sich um Brennelement-Antransport -Abtransport oder -Einlagerung bull Es handelt sich um eine Aumlnderung der Dokumentation Eine gegebenenfalls zugrunde liegende Anla-

genaumlnderung ist dagegen zu betrachten

Im Weiteren koumlnnen zur Unterstuumltzung und nachvollziehbaren Dokumentation der Zuordnung zu den Kate-gorien die 14 Fragen gemaumlszlig Anhang 1 herangezogen werden Von Aumlnderungsmaszlignahmen der Kategorie b wird zwar grundsaumltzlich ein Einfluss auf die PSA erwartet aller-dings kein nennenswerter Einfluss auf ihre Ergebnisse (weder direkt noch indirekt vgl Abschnitt 22) Hier-von betroffen sind auch die Bereiche die auszligerhalb des Umfangs der als Ausgangsbasis verfuumlgbaren anla-genspezifischen PSA liegen Eine eventuelle Aktualisierung der PSA als Konsequenz von Aumlnderungsmaszlig-nahmen der Kategorie b d h die Integration der durchgefuumlhrten Aumlnderungen in das PSA-Modell sollte tur-nusgemaumlszlig erfolgen (Zeitraum kuumlrzer als SUuml-Zyklus vgl Abschnitt 5)

16

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme

17

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung

Kategorie Einfluss auf die PSA er-wartet

Nennenswer-ter Einfluss auf die Ergeb-nisse der PSA

Probabilistische Bewertung bei Abwicklung der Aumlnderung

Modellierung Aktualisierung PSA

Anmerkungen

a nein nein nein nein

b ja nein weder direkt noch indirekt

nein zu gegebener Zeit In-tegration der Erkennt-nisse aus der Aumlnde-rungsmaszlignahme in die PSA-Modellierung

gegebenenfalls spaumltere bzw zusammenfas-sende Bewertung der Aumlnderungsmaszlig-nahme u U Vorschlaumlge fuumlr Modifikationen im PSA-Modell (vergleichbar betriebsbeglei-tender Pruumlfung)

c ja ja direkt oder indi-rekt

ja in Ergaumlnzung zur deterministischen Bewertung

zeitgleiche zeitnahe Modellierung Aktuali-sierung der PSA-Model-lierung

unmittelbare Ruumlckkopplung zur Aumlnderungs-maszlignahme Voraussetzung konkrete Infor-mationen liegen vor (gegebenenfalls Ergaumln-zung bezuumlglich bisherigem Stand)

18

Eine nachtraumlgliche zusammenfassende probabilistische Bewertung mehrerer realisierter Aumlnderungsmaszlignah-men kann ergaumlnzend durchgefuumlhrt werden Fuumlr realisierte Aumlnderungsmaszlignahmen der Kategorie b wuumlrden sich dadurch u U ndash vergleichbar einer betriebsbegleitenden Pruumlfung und Kontrolle in anderen Bereichen oder der bisherigen Sicherheitsuumlberpruumlfung ndash Vorschlaumlge fuumlr Modifikationen im PSA-Modell ergeben Aumlnderungsmaszlignahmen bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist (Kategorie c) sollen einer probabilistischen Bewertung unterzogen werden Bei diesen Aumlnderungsmaszlignah-men empfiehlt sich eine zeitnahe Aktualisierung der PSA Unter Umstaumlnden ergibt sich fuumlr die probabilisti-sche Bewertung die Veranlassung von Parameter- bzw Sensitivitaumltsstudien wie es z B fuumlr probabilistische Bewertungen vor Genehmigung und Errichtung einer Anlage international uumlblich ist

32 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Fuumlr die zu treffende Entscheidung ob bei konkreten ereignis- bzw anlassbezogenen Fragestellungen proba-bilistische Untersuchungen durchzufuumlhren sind kann in Anlehnung an die beschriebene Vorgehensweise fuumlr die Kategorisierung von Aumlnderungsmaszlignahmen vorgegangen werden Die entsprechenden Kategorien fuumlr ereignis- bzw anlassbezogene Fragestellungen werden im Folgenden mit α β und γ bezeichnet Zur Unter-stuumltzung und nachvollziehbaren Dokumentation koumlnnen ebenfalls die 14 Fragen gemaumlszlig Anhang 1 herange-zogen werden d h es wird uumlberlegt und abgefragt ob z B ein aufgetretenes meldepflichtiges Ereignis Auswirkungen auf das bisherige Spektrum ausloumlsender Ereignisse auf die zugrunde gelegten Wirksamkeits-bedingungen auf die angenommenen Ereignisablaufsequenzen usw haben kann Probabilistische Untersu-chungen derartiger ereignis- bzw anlassbezogener Fragestellungen zielen ebenfalls auf die sicherheitstech-nische Bewertung der Auswirkungen auf das Sicherheitsniveau ab d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strate-gien) Insofern ist die Kategorie α vergleichbar der Kategorie a im Falle von Aumlnderungsmaszlignahmen d h es wird kein Einfluss auf die PSA der Anlage erwartet Wenn von einer ereignis- bzw anlassbezogenen Fragestellung keine nennenswerte Auswirkung auf die je-weils vorliegende PSA erwartet wird faumlllt diese in die Kategorie β Eine eventuelle Aktualisierung der PSA entfaumlllt aufgrund der zeitlichen Beschraumlnkung des Ereignisses bzw des Anlasses vgl auch Abschnitt 52 Fuumlr die Faumllle bei denen fuumlr eine ereignis- bzw anlassbezogene Fragestellung eine nennenswerte Auswir-kung auf die Ergebnisse der vorliegende PSA zu erwarten ist soll in Ergaumlnzung der deterministischen Be-wertung auch eine probabilistische Bewertung durchgefuumlhrt werden Hierbei ist zu beachten dass spezifi-sche Randbedingungen von denen der vorliegenden PSA abweichen koumlnnen Beispiele fuumlr diese Randbe-dingungen sind unter anderem (vgl ENSI 15) bull Die Dauer der Nichtverfuumlgbarkeit einer Komponente bull die der ereignis- bzw anlassbezogenen Fragestellung zugeordnete Anlagenkonfiguration wie zum Bei-

spiel keine weitere Nichtverfuumlgbarkeit aufgrund vorgezogener Instandhaltung oder kompensatorischer Maszlignahmen

bull die aktuell vorliegenden Systemschaltungen die zB eine veraumlnderte Verfuumlgbarkeit eines Systems be-deuten

bull die eventuelle Uumlbertragbarkeit des Anlasses auf weitere Komponenten zB Neubewertung der Verfuumlg-barkeit

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN Die Methoden Vorgehensweisen und Randbedingungen zur Erstellung probabilistischer Analysen im Rah-men der SUuml sind in dem PSA-Leitfaden BA 05 bzw in den zugehoumlrigen Methoden- und Datenbaumlnden METH 05 DAT 05 festgelegt (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) und im Grundsatz auch fuumlr die sicherheitstechnische Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen soweit moumlg-lich und sinnvoll anzuwenden Um die sicherheitstechnisch relevanten Fragestellungen beantworten zu koumln-nen ist es jedoch moumlglicherweise erforderlich detaillierter und realistischer zu modellieren Generell sind die probabilistischen Untersuchungen nur dort anzuwenden wo der Stand der Methodik und die verfuumlgbaren Daten dies erlauben Bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen sind Vorgehen Umfang und Detaillierungsgrad fallbezogen anzupassen Ein solcher gestaffelter Bewertungsansatz wird auch in IAEA GSR Part 4 Kap 3 IAEA 16 beschrieben

19

Im Falle einer detaillierten probabilistischen Bewertung ist eine wesentliche Randbedingung dass die fuumlr probabilistische Untersuchungen verwendeten Modellierungen und Zuverlaumlssigkeitskenngroumlszligen dem aktuel-len Anlagenzustand entsprechen Konkrete Beispiele zur Durchfuumlhrung solcher probabilistischer Untersuchungen sind in Anhang 5 aufgefuumlhrt Moumlgliche Auswirkungen (direkte und indirekte) der zu untersuchenden Fragestellung auf die Modellierung der probabilistischen Untersuchungen sind festzustellen und nachvollziehbar zu dokumentieren Sind von der zu untersuchenden Fragestellung zusaumltzlich nicht analysierte Bereiche bezuumlglich der vorliegenden pro-babilistischen Untersuchungen betroffen ist in geeigneter Weise auf diesen Aspekt einzugehen (vgl auch Abschnitt 32) Fuumlr alle Zustaumlnde (z B vor und nach einer Aumlnderung oder mehrere geplante Strategien) sind abhaumlngig von der zu untersuchenden Fragestellung nachvollziehbare quantitative und qualitative Daten und Informationen bereitzustellen Abhaumlngig von den relevanten Analysesachverhalten betrifft dies z B folgende Daten bzw Informationen bull Zuverlaumlssigkeitskenngroumlszligen bull Nichtverfuumlgbarkeiten und Unsicherheiten von Basisereignissen Fehlerbaumlumen Systemfunktionen Si-

cherheitsfunktionen bull Eintrittshaumlufigkeiten von Ereignisablaufsequenzen ausloumlsenden Ereignissen oder Endzustaumlnden bull Gesamtergebnis (z B Haumlufigkeit von Brennstabschadenszustaumlnden) und bull Importanz und Sensitivitaumlt von Zuverlaumlssigkeitskenngroumlszligen Basisereignissen und -gruppen sowie bull Modellierung des Ausfallverhaltens bull Beruumlcksichtigung und Modellierung von gemeinsam verursachten Ausfaumlllen bull Beruumlcksichtigung und Modellierung von Personalhandlungen bull Beruumlcksichtigung und Bewertung von Unsicherheiten bull Zusammensetzung von Minimalschnitten bull Bewertung von Ereignisablaufsequenzen hinsichtlich ihrer Endzustaumlnde sowie der Uumlbergaumlnge aus rele-

vanten Zwischenzustaumlnden

Ein grundlegender Unterschied bei der sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen im Vergleich zu ereignis- bzw anlassbezogenen Fragestellungen besteht darin dass sich erstere im Allgemei-nen auf eine Aumlnderung des Zustands der Anlage beziehen der andauert und sich auf das ganze Jahr be-zieht waumlhrend letztere sich auf temporaumlre Aumlnderungen beziehen Auch ist bei der sicherheitstechnischen Bewertung ereignis- bzw anlassbezogener Fragestellungen im Allgemeinen der zugrunde zu legende Zeit-raum eingrenzbar Bei probabilistischen Untersuchungen von ereignis- bzw anlassbezogenen Fragestellungen ist weiter zu dif-ferenzieren zwischen aufgetretenen Ereignissen und der Bewertung von Strategien bei mehreren zulaumlssigen Varianten Deshalb sind insbesondere bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen fuumlr ereignis- bzw anlassbezogenen Fragestellungen zeitabhaumlngige Analysen durchzufuumlhren welche die temporaumlren Aumln-derungen in den jeweiligen Zeitraumlumen zutreffend in den Modellierungen beruumlcksichtigen

5 VORGEHEN BEI DER BEWERTUNG Die probabilistische Bewertung der zu untersuchenden Fragestellung ist fallbezogen unter Beruumlcksichtigung der Unsicherheiten fuumlr die verschiedenen Ebenen der Modellierung der probabilistischen Untersuchungen durchzufuumlhren z B fuumlr Zuverlaumlssigkeitskenngroumlszligen Basisereignisse Fehlerbaumlume Systemfunktionen Si-cherheitsfunktionen Ereignisablaufsequenzen ausloumlsende Ereignisse und das Gesamtergebnis vgl auch Abschnitt 4 Daruumlber hinaus liefern die qualitativen Ergebnisse der anlagenspezifischen PSA ergaumlnzende Informationen und systematische Erkenntnisse Dafuumlr koumlnnen die Minimalschnitte der einzelnen Ereignisablaufsequenzen im Hinblick auf ihre Zusammensetzung ihre Beitraumlge sowie ihre jeweiligen Unsicherheiten analysiert wer-den Bei der Analyse und Bewertung der Minimalschnitte sollten administrative Regelungen oder Personal-handlungen besonders beachtet werden insbesondere solche die gewisse Schwaumlchen in der Anlagenaus-legung kompensieren sollen

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 17: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

16

Abbildung 1 Bewertung einer fallweise ergaumlnzenden probabilistischen Untersuchung waumlhrend bzw nach der Abwicklung einer Aumlnderungsmaszlignahme

17

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung

Kategorie Einfluss auf die PSA er-wartet

Nennenswer-ter Einfluss auf die Ergeb-nisse der PSA

Probabilistische Bewertung bei Abwicklung der Aumlnderung

Modellierung Aktualisierung PSA

Anmerkungen

a nein nein nein nein

b ja nein weder direkt noch indirekt

nein zu gegebener Zeit In-tegration der Erkennt-nisse aus der Aumlnde-rungsmaszlignahme in die PSA-Modellierung

gegebenenfalls spaumltere bzw zusammenfas-sende Bewertung der Aumlnderungsmaszlig-nahme u U Vorschlaumlge fuumlr Modifikationen im PSA-Modell (vergleichbar betriebsbeglei-tender Pruumlfung)

c ja ja direkt oder indi-rekt

ja in Ergaumlnzung zur deterministischen Bewertung

zeitgleiche zeitnahe Modellierung Aktuali-sierung der PSA-Model-lierung

unmittelbare Ruumlckkopplung zur Aumlnderungs-maszlignahme Voraussetzung konkrete Infor-mationen liegen vor (gegebenenfalls Ergaumln-zung bezuumlglich bisherigem Stand)

18

Eine nachtraumlgliche zusammenfassende probabilistische Bewertung mehrerer realisierter Aumlnderungsmaszlignah-men kann ergaumlnzend durchgefuumlhrt werden Fuumlr realisierte Aumlnderungsmaszlignahmen der Kategorie b wuumlrden sich dadurch u U ndash vergleichbar einer betriebsbegleitenden Pruumlfung und Kontrolle in anderen Bereichen oder der bisherigen Sicherheitsuumlberpruumlfung ndash Vorschlaumlge fuumlr Modifikationen im PSA-Modell ergeben Aumlnderungsmaszlignahmen bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist (Kategorie c) sollen einer probabilistischen Bewertung unterzogen werden Bei diesen Aumlnderungsmaszlignah-men empfiehlt sich eine zeitnahe Aktualisierung der PSA Unter Umstaumlnden ergibt sich fuumlr die probabilisti-sche Bewertung die Veranlassung von Parameter- bzw Sensitivitaumltsstudien wie es z B fuumlr probabilistische Bewertungen vor Genehmigung und Errichtung einer Anlage international uumlblich ist

32 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Fuumlr die zu treffende Entscheidung ob bei konkreten ereignis- bzw anlassbezogenen Fragestellungen proba-bilistische Untersuchungen durchzufuumlhren sind kann in Anlehnung an die beschriebene Vorgehensweise fuumlr die Kategorisierung von Aumlnderungsmaszlignahmen vorgegangen werden Die entsprechenden Kategorien fuumlr ereignis- bzw anlassbezogene Fragestellungen werden im Folgenden mit α β und γ bezeichnet Zur Unter-stuumltzung und nachvollziehbaren Dokumentation koumlnnen ebenfalls die 14 Fragen gemaumlszlig Anhang 1 herange-zogen werden d h es wird uumlberlegt und abgefragt ob z B ein aufgetretenes meldepflichtiges Ereignis Auswirkungen auf das bisherige Spektrum ausloumlsender Ereignisse auf die zugrunde gelegten Wirksamkeits-bedingungen auf die angenommenen Ereignisablaufsequenzen usw haben kann Probabilistische Untersu-chungen derartiger ereignis- bzw anlassbezogener Fragestellungen zielen ebenfalls auf die sicherheitstech-nische Bewertung der Auswirkungen auf das Sicherheitsniveau ab d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strate-gien) Insofern ist die Kategorie α vergleichbar der Kategorie a im Falle von Aumlnderungsmaszlignahmen d h es wird kein Einfluss auf die PSA der Anlage erwartet Wenn von einer ereignis- bzw anlassbezogenen Fragestellung keine nennenswerte Auswirkung auf die je-weils vorliegende PSA erwartet wird faumlllt diese in die Kategorie β Eine eventuelle Aktualisierung der PSA entfaumlllt aufgrund der zeitlichen Beschraumlnkung des Ereignisses bzw des Anlasses vgl auch Abschnitt 52 Fuumlr die Faumllle bei denen fuumlr eine ereignis- bzw anlassbezogene Fragestellung eine nennenswerte Auswir-kung auf die Ergebnisse der vorliegende PSA zu erwarten ist soll in Ergaumlnzung der deterministischen Be-wertung auch eine probabilistische Bewertung durchgefuumlhrt werden Hierbei ist zu beachten dass spezifi-sche Randbedingungen von denen der vorliegenden PSA abweichen koumlnnen Beispiele fuumlr diese Randbe-dingungen sind unter anderem (vgl ENSI 15) bull Die Dauer der Nichtverfuumlgbarkeit einer Komponente bull die der ereignis- bzw anlassbezogenen Fragestellung zugeordnete Anlagenkonfiguration wie zum Bei-

spiel keine weitere Nichtverfuumlgbarkeit aufgrund vorgezogener Instandhaltung oder kompensatorischer Maszlignahmen

bull die aktuell vorliegenden Systemschaltungen die zB eine veraumlnderte Verfuumlgbarkeit eines Systems be-deuten

bull die eventuelle Uumlbertragbarkeit des Anlasses auf weitere Komponenten zB Neubewertung der Verfuumlg-barkeit

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN Die Methoden Vorgehensweisen und Randbedingungen zur Erstellung probabilistischer Analysen im Rah-men der SUuml sind in dem PSA-Leitfaden BA 05 bzw in den zugehoumlrigen Methoden- und Datenbaumlnden METH 05 DAT 05 festgelegt (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) und im Grundsatz auch fuumlr die sicherheitstechnische Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen soweit moumlg-lich und sinnvoll anzuwenden Um die sicherheitstechnisch relevanten Fragestellungen beantworten zu koumln-nen ist es jedoch moumlglicherweise erforderlich detaillierter und realistischer zu modellieren Generell sind die probabilistischen Untersuchungen nur dort anzuwenden wo der Stand der Methodik und die verfuumlgbaren Daten dies erlauben Bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen sind Vorgehen Umfang und Detaillierungsgrad fallbezogen anzupassen Ein solcher gestaffelter Bewertungsansatz wird auch in IAEA GSR Part 4 Kap 3 IAEA 16 beschrieben

19

Im Falle einer detaillierten probabilistischen Bewertung ist eine wesentliche Randbedingung dass die fuumlr probabilistische Untersuchungen verwendeten Modellierungen und Zuverlaumlssigkeitskenngroumlszligen dem aktuel-len Anlagenzustand entsprechen Konkrete Beispiele zur Durchfuumlhrung solcher probabilistischer Untersuchungen sind in Anhang 5 aufgefuumlhrt Moumlgliche Auswirkungen (direkte und indirekte) der zu untersuchenden Fragestellung auf die Modellierung der probabilistischen Untersuchungen sind festzustellen und nachvollziehbar zu dokumentieren Sind von der zu untersuchenden Fragestellung zusaumltzlich nicht analysierte Bereiche bezuumlglich der vorliegenden pro-babilistischen Untersuchungen betroffen ist in geeigneter Weise auf diesen Aspekt einzugehen (vgl auch Abschnitt 32) Fuumlr alle Zustaumlnde (z B vor und nach einer Aumlnderung oder mehrere geplante Strategien) sind abhaumlngig von der zu untersuchenden Fragestellung nachvollziehbare quantitative und qualitative Daten und Informationen bereitzustellen Abhaumlngig von den relevanten Analysesachverhalten betrifft dies z B folgende Daten bzw Informationen bull Zuverlaumlssigkeitskenngroumlszligen bull Nichtverfuumlgbarkeiten und Unsicherheiten von Basisereignissen Fehlerbaumlumen Systemfunktionen Si-

cherheitsfunktionen bull Eintrittshaumlufigkeiten von Ereignisablaufsequenzen ausloumlsenden Ereignissen oder Endzustaumlnden bull Gesamtergebnis (z B Haumlufigkeit von Brennstabschadenszustaumlnden) und bull Importanz und Sensitivitaumlt von Zuverlaumlssigkeitskenngroumlszligen Basisereignissen und -gruppen sowie bull Modellierung des Ausfallverhaltens bull Beruumlcksichtigung und Modellierung von gemeinsam verursachten Ausfaumlllen bull Beruumlcksichtigung und Modellierung von Personalhandlungen bull Beruumlcksichtigung und Bewertung von Unsicherheiten bull Zusammensetzung von Minimalschnitten bull Bewertung von Ereignisablaufsequenzen hinsichtlich ihrer Endzustaumlnde sowie der Uumlbergaumlnge aus rele-

vanten Zwischenzustaumlnden

Ein grundlegender Unterschied bei der sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen im Vergleich zu ereignis- bzw anlassbezogenen Fragestellungen besteht darin dass sich erstere im Allgemei-nen auf eine Aumlnderung des Zustands der Anlage beziehen der andauert und sich auf das ganze Jahr be-zieht waumlhrend letztere sich auf temporaumlre Aumlnderungen beziehen Auch ist bei der sicherheitstechnischen Bewertung ereignis- bzw anlassbezogener Fragestellungen im Allgemeinen der zugrunde zu legende Zeit-raum eingrenzbar Bei probabilistischen Untersuchungen von ereignis- bzw anlassbezogenen Fragestellungen ist weiter zu dif-ferenzieren zwischen aufgetretenen Ereignissen und der Bewertung von Strategien bei mehreren zulaumlssigen Varianten Deshalb sind insbesondere bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen fuumlr ereignis- bzw anlassbezogenen Fragestellungen zeitabhaumlngige Analysen durchzufuumlhren welche die temporaumlren Aumln-derungen in den jeweiligen Zeitraumlumen zutreffend in den Modellierungen beruumlcksichtigen

5 VORGEHEN BEI DER BEWERTUNG Die probabilistische Bewertung der zu untersuchenden Fragestellung ist fallbezogen unter Beruumlcksichtigung der Unsicherheiten fuumlr die verschiedenen Ebenen der Modellierung der probabilistischen Untersuchungen durchzufuumlhren z B fuumlr Zuverlaumlssigkeitskenngroumlszligen Basisereignisse Fehlerbaumlume Systemfunktionen Si-cherheitsfunktionen Ereignisablaufsequenzen ausloumlsende Ereignisse und das Gesamtergebnis vgl auch Abschnitt 4 Daruumlber hinaus liefern die qualitativen Ergebnisse der anlagenspezifischen PSA ergaumlnzende Informationen und systematische Erkenntnisse Dafuumlr koumlnnen die Minimalschnitte der einzelnen Ereignisablaufsequenzen im Hinblick auf ihre Zusammensetzung ihre Beitraumlge sowie ihre jeweiligen Unsicherheiten analysiert wer-den Bei der Analyse und Bewertung der Minimalschnitte sollten administrative Regelungen oder Personal-handlungen besonders beachtet werden insbesondere solche die gewisse Schwaumlchen in der Anlagenaus-legung kompensieren sollen

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 18: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

17

Tabelle 1 Kategorisierung der Aumlnderungsmaszlignahmen bezuumlglich Abwicklung und probabilistischer Bewertung

Kategorie Einfluss auf die PSA er-wartet

Nennenswer-ter Einfluss auf die Ergeb-nisse der PSA

Probabilistische Bewertung bei Abwicklung der Aumlnderung

Modellierung Aktualisierung PSA

Anmerkungen

a nein nein nein nein

b ja nein weder direkt noch indirekt

nein zu gegebener Zeit In-tegration der Erkennt-nisse aus der Aumlnde-rungsmaszlignahme in die PSA-Modellierung

gegebenenfalls spaumltere bzw zusammenfas-sende Bewertung der Aumlnderungsmaszlig-nahme u U Vorschlaumlge fuumlr Modifikationen im PSA-Modell (vergleichbar betriebsbeglei-tender Pruumlfung)

c ja ja direkt oder indi-rekt

ja in Ergaumlnzung zur deterministischen Bewertung

zeitgleiche zeitnahe Modellierung Aktuali-sierung der PSA-Model-lierung

unmittelbare Ruumlckkopplung zur Aumlnderungs-maszlignahme Voraussetzung konkrete Infor-mationen liegen vor (gegebenenfalls Ergaumln-zung bezuumlglich bisherigem Stand)

18

Eine nachtraumlgliche zusammenfassende probabilistische Bewertung mehrerer realisierter Aumlnderungsmaszlignah-men kann ergaumlnzend durchgefuumlhrt werden Fuumlr realisierte Aumlnderungsmaszlignahmen der Kategorie b wuumlrden sich dadurch u U ndash vergleichbar einer betriebsbegleitenden Pruumlfung und Kontrolle in anderen Bereichen oder der bisherigen Sicherheitsuumlberpruumlfung ndash Vorschlaumlge fuumlr Modifikationen im PSA-Modell ergeben Aumlnderungsmaszlignahmen bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist (Kategorie c) sollen einer probabilistischen Bewertung unterzogen werden Bei diesen Aumlnderungsmaszlignah-men empfiehlt sich eine zeitnahe Aktualisierung der PSA Unter Umstaumlnden ergibt sich fuumlr die probabilisti-sche Bewertung die Veranlassung von Parameter- bzw Sensitivitaumltsstudien wie es z B fuumlr probabilistische Bewertungen vor Genehmigung und Errichtung einer Anlage international uumlblich ist

32 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Fuumlr die zu treffende Entscheidung ob bei konkreten ereignis- bzw anlassbezogenen Fragestellungen proba-bilistische Untersuchungen durchzufuumlhren sind kann in Anlehnung an die beschriebene Vorgehensweise fuumlr die Kategorisierung von Aumlnderungsmaszlignahmen vorgegangen werden Die entsprechenden Kategorien fuumlr ereignis- bzw anlassbezogene Fragestellungen werden im Folgenden mit α β und γ bezeichnet Zur Unter-stuumltzung und nachvollziehbaren Dokumentation koumlnnen ebenfalls die 14 Fragen gemaumlszlig Anhang 1 herange-zogen werden d h es wird uumlberlegt und abgefragt ob z B ein aufgetretenes meldepflichtiges Ereignis Auswirkungen auf das bisherige Spektrum ausloumlsender Ereignisse auf die zugrunde gelegten Wirksamkeits-bedingungen auf die angenommenen Ereignisablaufsequenzen usw haben kann Probabilistische Untersu-chungen derartiger ereignis- bzw anlassbezogener Fragestellungen zielen ebenfalls auf die sicherheitstech-nische Bewertung der Auswirkungen auf das Sicherheitsniveau ab d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strate-gien) Insofern ist die Kategorie α vergleichbar der Kategorie a im Falle von Aumlnderungsmaszlignahmen d h es wird kein Einfluss auf die PSA der Anlage erwartet Wenn von einer ereignis- bzw anlassbezogenen Fragestellung keine nennenswerte Auswirkung auf die je-weils vorliegende PSA erwartet wird faumlllt diese in die Kategorie β Eine eventuelle Aktualisierung der PSA entfaumlllt aufgrund der zeitlichen Beschraumlnkung des Ereignisses bzw des Anlasses vgl auch Abschnitt 52 Fuumlr die Faumllle bei denen fuumlr eine ereignis- bzw anlassbezogene Fragestellung eine nennenswerte Auswir-kung auf die Ergebnisse der vorliegende PSA zu erwarten ist soll in Ergaumlnzung der deterministischen Be-wertung auch eine probabilistische Bewertung durchgefuumlhrt werden Hierbei ist zu beachten dass spezifi-sche Randbedingungen von denen der vorliegenden PSA abweichen koumlnnen Beispiele fuumlr diese Randbe-dingungen sind unter anderem (vgl ENSI 15) bull Die Dauer der Nichtverfuumlgbarkeit einer Komponente bull die der ereignis- bzw anlassbezogenen Fragestellung zugeordnete Anlagenkonfiguration wie zum Bei-

spiel keine weitere Nichtverfuumlgbarkeit aufgrund vorgezogener Instandhaltung oder kompensatorischer Maszlignahmen

bull die aktuell vorliegenden Systemschaltungen die zB eine veraumlnderte Verfuumlgbarkeit eines Systems be-deuten

bull die eventuelle Uumlbertragbarkeit des Anlasses auf weitere Komponenten zB Neubewertung der Verfuumlg-barkeit

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN Die Methoden Vorgehensweisen und Randbedingungen zur Erstellung probabilistischer Analysen im Rah-men der SUuml sind in dem PSA-Leitfaden BA 05 bzw in den zugehoumlrigen Methoden- und Datenbaumlnden METH 05 DAT 05 festgelegt (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) und im Grundsatz auch fuumlr die sicherheitstechnische Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen soweit moumlg-lich und sinnvoll anzuwenden Um die sicherheitstechnisch relevanten Fragestellungen beantworten zu koumln-nen ist es jedoch moumlglicherweise erforderlich detaillierter und realistischer zu modellieren Generell sind die probabilistischen Untersuchungen nur dort anzuwenden wo der Stand der Methodik und die verfuumlgbaren Daten dies erlauben Bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen sind Vorgehen Umfang und Detaillierungsgrad fallbezogen anzupassen Ein solcher gestaffelter Bewertungsansatz wird auch in IAEA GSR Part 4 Kap 3 IAEA 16 beschrieben

19

Im Falle einer detaillierten probabilistischen Bewertung ist eine wesentliche Randbedingung dass die fuumlr probabilistische Untersuchungen verwendeten Modellierungen und Zuverlaumlssigkeitskenngroumlszligen dem aktuel-len Anlagenzustand entsprechen Konkrete Beispiele zur Durchfuumlhrung solcher probabilistischer Untersuchungen sind in Anhang 5 aufgefuumlhrt Moumlgliche Auswirkungen (direkte und indirekte) der zu untersuchenden Fragestellung auf die Modellierung der probabilistischen Untersuchungen sind festzustellen und nachvollziehbar zu dokumentieren Sind von der zu untersuchenden Fragestellung zusaumltzlich nicht analysierte Bereiche bezuumlglich der vorliegenden pro-babilistischen Untersuchungen betroffen ist in geeigneter Weise auf diesen Aspekt einzugehen (vgl auch Abschnitt 32) Fuumlr alle Zustaumlnde (z B vor und nach einer Aumlnderung oder mehrere geplante Strategien) sind abhaumlngig von der zu untersuchenden Fragestellung nachvollziehbare quantitative und qualitative Daten und Informationen bereitzustellen Abhaumlngig von den relevanten Analysesachverhalten betrifft dies z B folgende Daten bzw Informationen bull Zuverlaumlssigkeitskenngroumlszligen bull Nichtverfuumlgbarkeiten und Unsicherheiten von Basisereignissen Fehlerbaumlumen Systemfunktionen Si-

cherheitsfunktionen bull Eintrittshaumlufigkeiten von Ereignisablaufsequenzen ausloumlsenden Ereignissen oder Endzustaumlnden bull Gesamtergebnis (z B Haumlufigkeit von Brennstabschadenszustaumlnden) und bull Importanz und Sensitivitaumlt von Zuverlaumlssigkeitskenngroumlszligen Basisereignissen und -gruppen sowie bull Modellierung des Ausfallverhaltens bull Beruumlcksichtigung und Modellierung von gemeinsam verursachten Ausfaumlllen bull Beruumlcksichtigung und Modellierung von Personalhandlungen bull Beruumlcksichtigung und Bewertung von Unsicherheiten bull Zusammensetzung von Minimalschnitten bull Bewertung von Ereignisablaufsequenzen hinsichtlich ihrer Endzustaumlnde sowie der Uumlbergaumlnge aus rele-

vanten Zwischenzustaumlnden

Ein grundlegender Unterschied bei der sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen im Vergleich zu ereignis- bzw anlassbezogenen Fragestellungen besteht darin dass sich erstere im Allgemei-nen auf eine Aumlnderung des Zustands der Anlage beziehen der andauert und sich auf das ganze Jahr be-zieht waumlhrend letztere sich auf temporaumlre Aumlnderungen beziehen Auch ist bei der sicherheitstechnischen Bewertung ereignis- bzw anlassbezogener Fragestellungen im Allgemeinen der zugrunde zu legende Zeit-raum eingrenzbar Bei probabilistischen Untersuchungen von ereignis- bzw anlassbezogenen Fragestellungen ist weiter zu dif-ferenzieren zwischen aufgetretenen Ereignissen und der Bewertung von Strategien bei mehreren zulaumlssigen Varianten Deshalb sind insbesondere bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen fuumlr ereignis- bzw anlassbezogenen Fragestellungen zeitabhaumlngige Analysen durchzufuumlhren welche die temporaumlren Aumln-derungen in den jeweiligen Zeitraumlumen zutreffend in den Modellierungen beruumlcksichtigen

5 VORGEHEN BEI DER BEWERTUNG Die probabilistische Bewertung der zu untersuchenden Fragestellung ist fallbezogen unter Beruumlcksichtigung der Unsicherheiten fuumlr die verschiedenen Ebenen der Modellierung der probabilistischen Untersuchungen durchzufuumlhren z B fuumlr Zuverlaumlssigkeitskenngroumlszligen Basisereignisse Fehlerbaumlume Systemfunktionen Si-cherheitsfunktionen Ereignisablaufsequenzen ausloumlsende Ereignisse und das Gesamtergebnis vgl auch Abschnitt 4 Daruumlber hinaus liefern die qualitativen Ergebnisse der anlagenspezifischen PSA ergaumlnzende Informationen und systematische Erkenntnisse Dafuumlr koumlnnen die Minimalschnitte der einzelnen Ereignisablaufsequenzen im Hinblick auf ihre Zusammensetzung ihre Beitraumlge sowie ihre jeweiligen Unsicherheiten analysiert wer-den Bei der Analyse und Bewertung der Minimalschnitte sollten administrative Regelungen oder Personal-handlungen besonders beachtet werden insbesondere solche die gewisse Schwaumlchen in der Anlagenaus-legung kompensieren sollen

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 19: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

18

Eine nachtraumlgliche zusammenfassende probabilistische Bewertung mehrerer realisierter Aumlnderungsmaszlignah-men kann ergaumlnzend durchgefuumlhrt werden Fuumlr realisierte Aumlnderungsmaszlignahmen der Kategorie b wuumlrden sich dadurch u U ndash vergleichbar einer betriebsbegleitenden Pruumlfung und Kontrolle in anderen Bereichen oder der bisherigen Sicherheitsuumlberpruumlfung ndash Vorschlaumlge fuumlr Modifikationen im PSA-Modell ergeben Aumlnderungsmaszlignahmen bei denen ein nennenswerter Einfluss auf die Ergebnisse der PSA zu erwarten ist (Kategorie c) sollen einer probabilistischen Bewertung unterzogen werden Bei diesen Aumlnderungsmaszlignah-men empfiehlt sich eine zeitnahe Aktualisierung der PSA Unter Umstaumlnden ergibt sich fuumlr die probabilisti-sche Bewertung die Veranlassung von Parameter- bzw Sensitivitaumltsstudien wie es z B fuumlr probabilistische Bewertungen vor Genehmigung und Errichtung einer Anlage international uumlblich ist

32 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Fuumlr die zu treffende Entscheidung ob bei konkreten ereignis- bzw anlassbezogenen Fragestellungen proba-bilistische Untersuchungen durchzufuumlhren sind kann in Anlehnung an die beschriebene Vorgehensweise fuumlr die Kategorisierung von Aumlnderungsmaszlignahmen vorgegangen werden Die entsprechenden Kategorien fuumlr ereignis- bzw anlassbezogene Fragestellungen werden im Folgenden mit α β und γ bezeichnet Zur Unter-stuumltzung und nachvollziehbaren Dokumentation koumlnnen ebenfalls die 14 Fragen gemaumlszlig Anhang 1 herange-zogen werden d h es wird uumlberlegt und abgefragt ob z B ein aufgetretenes meldepflichtiges Ereignis Auswirkungen auf das bisherige Spektrum ausloumlsender Ereignisse auf die zugrunde gelegten Wirksamkeits-bedingungen auf die angenommenen Ereignisablaufsequenzen usw haben kann Probabilistische Untersu-chungen derartiger ereignis- bzw anlassbezogener Fragestellungen zielen ebenfalls auf die sicherheitstech-nische Bewertung der Auswirkungen auf das Sicherheitsniveau ab d h in diesem Fall auf die ereignis- bzw anlassbezogene Risikoaumlnderung (VorherNachher-Betrachtungen oder z B Bewertung mehrerer Strate-gien) Insofern ist die Kategorie α vergleichbar der Kategorie a im Falle von Aumlnderungsmaszlignahmen d h es wird kein Einfluss auf die PSA der Anlage erwartet Wenn von einer ereignis- bzw anlassbezogenen Fragestellung keine nennenswerte Auswirkung auf die je-weils vorliegende PSA erwartet wird faumlllt diese in die Kategorie β Eine eventuelle Aktualisierung der PSA entfaumlllt aufgrund der zeitlichen Beschraumlnkung des Ereignisses bzw des Anlasses vgl auch Abschnitt 52 Fuumlr die Faumllle bei denen fuumlr eine ereignis- bzw anlassbezogene Fragestellung eine nennenswerte Auswir-kung auf die Ergebnisse der vorliegende PSA zu erwarten ist soll in Ergaumlnzung der deterministischen Be-wertung auch eine probabilistische Bewertung durchgefuumlhrt werden Hierbei ist zu beachten dass spezifi-sche Randbedingungen von denen der vorliegenden PSA abweichen koumlnnen Beispiele fuumlr diese Randbe-dingungen sind unter anderem (vgl ENSI 15) bull Die Dauer der Nichtverfuumlgbarkeit einer Komponente bull die der ereignis- bzw anlassbezogenen Fragestellung zugeordnete Anlagenkonfiguration wie zum Bei-

spiel keine weitere Nichtverfuumlgbarkeit aufgrund vorgezogener Instandhaltung oder kompensatorischer Maszlignahmen

bull die aktuell vorliegenden Systemschaltungen die zB eine veraumlnderte Verfuumlgbarkeit eines Systems be-deuten

bull die eventuelle Uumlbertragbarkeit des Anlasses auf weitere Komponenten zB Neubewertung der Verfuumlg-barkeit

4 DURCHFUumlHRUNG DER PROBABILISTISCHEN UNTERSUCHUNGEN Die Methoden Vorgehensweisen und Randbedingungen zur Erstellung probabilistischer Analysen im Rah-men der SUuml sind in dem PSA-Leitfaden BA 05 bzw in den zugehoumlrigen Methoden- und Datenbaumlnden METH 05 DAT 05 festgelegt (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) und im Grundsatz auch fuumlr die sicherheitstechnische Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen soweit moumlg-lich und sinnvoll anzuwenden Um die sicherheitstechnisch relevanten Fragestellungen beantworten zu koumln-nen ist es jedoch moumlglicherweise erforderlich detaillierter und realistischer zu modellieren Generell sind die probabilistischen Untersuchungen nur dort anzuwenden wo der Stand der Methodik und die verfuumlgbaren Daten dies erlauben Bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage sowie von ereignis- bzw anlassbezogenen Fragestellungen sind Vorgehen Umfang und Detaillierungsgrad fallbezogen anzupassen Ein solcher gestaffelter Bewertungsansatz wird auch in IAEA GSR Part 4 Kap 3 IAEA 16 beschrieben

19

Im Falle einer detaillierten probabilistischen Bewertung ist eine wesentliche Randbedingung dass die fuumlr probabilistische Untersuchungen verwendeten Modellierungen und Zuverlaumlssigkeitskenngroumlszligen dem aktuel-len Anlagenzustand entsprechen Konkrete Beispiele zur Durchfuumlhrung solcher probabilistischer Untersuchungen sind in Anhang 5 aufgefuumlhrt Moumlgliche Auswirkungen (direkte und indirekte) der zu untersuchenden Fragestellung auf die Modellierung der probabilistischen Untersuchungen sind festzustellen und nachvollziehbar zu dokumentieren Sind von der zu untersuchenden Fragestellung zusaumltzlich nicht analysierte Bereiche bezuumlglich der vorliegenden pro-babilistischen Untersuchungen betroffen ist in geeigneter Weise auf diesen Aspekt einzugehen (vgl auch Abschnitt 32) Fuumlr alle Zustaumlnde (z B vor und nach einer Aumlnderung oder mehrere geplante Strategien) sind abhaumlngig von der zu untersuchenden Fragestellung nachvollziehbare quantitative und qualitative Daten und Informationen bereitzustellen Abhaumlngig von den relevanten Analysesachverhalten betrifft dies z B folgende Daten bzw Informationen bull Zuverlaumlssigkeitskenngroumlszligen bull Nichtverfuumlgbarkeiten und Unsicherheiten von Basisereignissen Fehlerbaumlumen Systemfunktionen Si-

cherheitsfunktionen bull Eintrittshaumlufigkeiten von Ereignisablaufsequenzen ausloumlsenden Ereignissen oder Endzustaumlnden bull Gesamtergebnis (z B Haumlufigkeit von Brennstabschadenszustaumlnden) und bull Importanz und Sensitivitaumlt von Zuverlaumlssigkeitskenngroumlszligen Basisereignissen und -gruppen sowie bull Modellierung des Ausfallverhaltens bull Beruumlcksichtigung und Modellierung von gemeinsam verursachten Ausfaumlllen bull Beruumlcksichtigung und Modellierung von Personalhandlungen bull Beruumlcksichtigung und Bewertung von Unsicherheiten bull Zusammensetzung von Minimalschnitten bull Bewertung von Ereignisablaufsequenzen hinsichtlich ihrer Endzustaumlnde sowie der Uumlbergaumlnge aus rele-

vanten Zwischenzustaumlnden

Ein grundlegender Unterschied bei der sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen im Vergleich zu ereignis- bzw anlassbezogenen Fragestellungen besteht darin dass sich erstere im Allgemei-nen auf eine Aumlnderung des Zustands der Anlage beziehen der andauert und sich auf das ganze Jahr be-zieht waumlhrend letztere sich auf temporaumlre Aumlnderungen beziehen Auch ist bei der sicherheitstechnischen Bewertung ereignis- bzw anlassbezogener Fragestellungen im Allgemeinen der zugrunde zu legende Zeit-raum eingrenzbar Bei probabilistischen Untersuchungen von ereignis- bzw anlassbezogenen Fragestellungen ist weiter zu dif-ferenzieren zwischen aufgetretenen Ereignissen und der Bewertung von Strategien bei mehreren zulaumlssigen Varianten Deshalb sind insbesondere bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen fuumlr ereignis- bzw anlassbezogenen Fragestellungen zeitabhaumlngige Analysen durchzufuumlhren welche die temporaumlren Aumln-derungen in den jeweiligen Zeitraumlumen zutreffend in den Modellierungen beruumlcksichtigen

5 VORGEHEN BEI DER BEWERTUNG Die probabilistische Bewertung der zu untersuchenden Fragestellung ist fallbezogen unter Beruumlcksichtigung der Unsicherheiten fuumlr die verschiedenen Ebenen der Modellierung der probabilistischen Untersuchungen durchzufuumlhren z B fuumlr Zuverlaumlssigkeitskenngroumlszligen Basisereignisse Fehlerbaumlume Systemfunktionen Si-cherheitsfunktionen Ereignisablaufsequenzen ausloumlsende Ereignisse und das Gesamtergebnis vgl auch Abschnitt 4 Daruumlber hinaus liefern die qualitativen Ergebnisse der anlagenspezifischen PSA ergaumlnzende Informationen und systematische Erkenntnisse Dafuumlr koumlnnen die Minimalschnitte der einzelnen Ereignisablaufsequenzen im Hinblick auf ihre Zusammensetzung ihre Beitraumlge sowie ihre jeweiligen Unsicherheiten analysiert wer-den Bei der Analyse und Bewertung der Minimalschnitte sollten administrative Regelungen oder Personal-handlungen besonders beachtet werden insbesondere solche die gewisse Schwaumlchen in der Anlagenaus-legung kompensieren sollen

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 20: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

19

Im Falle einer detaillierten probabilistischen Bewertung ist eine wesentliche Randbedingung dass die fuumlr probabilistische Untersuchungen verwendeten Modellierungen und Zuverlaumlssigkeitskenngroumlszligen dem aktuel-len Anlagenzustand entsprechen Konkrete Beispiele zur Durchfuumlhrung solcher probabilistischer Untersuchungen sind in Anhang 5 aufgefuumlhrt Moumlgliche Auswirkungen (direkte und indirekte) der zu untersuchenden Fragestellung auf die Modellierung der probabilistischen Untersuchungen sind festzustellen und nachvollziehbar zu dokumentieren Sind von der zu untersuchenden Fragestellung zusaumltzlich nicht analysierte Bereiche bezuumlglich der vorliegenden pro-babilistischen Untersuchungen betroffen ist in geeigneter Weise auf diesen Aspekt einzugehen (vgl auch Abschnitt 32) Fuumlr alle Zustaumlnde (z B vor und nach einer Aumlnderung oder mehrere geplante Strategien) sind abhaumlngig von der zu untersuchenden Fragestellung nachvollziehbare quantitative und qualitative Daten und Informationen bereitzustellen Abhaumlngig von den relevanten Analysesachverhalten betrifft dies z B folgende Daten bzw Informationen bull Zuverlaumlssigkeitskenngroumlszligen bull Nichtverfuumlgbarkeiten und Unsicherheiten von Basisereignissen Fehlerbaumlumen Systemfunktionen Si-

cherheitsfunktionen bull Eintrittshaumlufigkeiten von Ereignisablaufsequenzen ausloumlsenden Ereignissen oder Endzustaumlnden bull Gesamtergebnis (z B Haumlufigkeit von Brennstabschadenszustaumlnden) und bull Importanz und Sensitivitaumlt von Zuverlaumlssigkeitskenngroumlszligen Basisereignissen und -gruppen sowie bull Modellierung des Ausfallverhaltens bull Beruumlcksichtigung und Modellierung von gemeinsam verursachten Ausfaumlllen bull Beruumlcksichtigung und Modellierung von Personalhandlungen bull Beruumlcksichtigung und Bewertung von Unsicherheiten bull Zusammensetzung von Minimalschnitten bull Bewertung von Ereignisablaufsequenzen hinsichtlich ihrer Endzustaumlnde sowie der Uumlbergaumlnge aus rele-

vanten Zwischenzustaumlnden

Ein grundlegender Unterschied bei der sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen im Vergleich zu ereignis- bzw anlassbezogenen Fragestellungen besteht darin dass sich erstere im Allgemei-nen auf eine Aumlnderung des Zustands der Anlage beziehen der andauert und sich auf das ganze Jahr be-zieht waumlhrend letztere sich auf temporaumlre Aumlnderungen beziehen Auch ist bei der sicherheitstechnischen Bewertung ereignis- bzw anlassbezogener Fragestellungen im Allgemeinen der zugrunde zu legende Zeit-raum eingrenzbar Bei probabilistischen Untersuchungen von ereignis- bzw anlassbezogenen Fragestellungen ist weiter zu dif-ferenzieren zwischen aufgetretenen Ereignissen und der Bewertung von Strategien bei mehreren zulaumlssigen Varianten Deshalb sind insbesondere bei der konkreten Durchfuumlhrung probabilistischer Untersuchungen fuumlr ereignis- bzw anlassbezogenen Fragestellungen zeitabhaumlngige Analysen durchzufuumlhren welche die temporaumlren Aumln-derungen in den jeweiligen Zeitraumlumen zutreffend in den Modellierungen beruumlcksichtigen

5 VORGEHEN BEI DER BEWERTUNG Die probabilistische Bewertung der zu untersuchenden Fragestellung ist fallbezogen unter Beruumlcksichtigung der Unsicherheiten fuumlr die verschiedenen Ebenen der Modellierung der probabilistischen Untersuchungen durchzufuumlhren z B fuumlr Zuverlaumlssigkeitskenngroumlszligen Basisereignisse Fehlerbaumlume Systemfunktionen Si-cherheitsfunktionen Ereignisablaufsequenzen ausloumlsende Ereignisse und das Gesamtergebnis vgl auch Abschnitt 4 Daruumlber hinaus liefern die qualitativen Ergebnisse der anlagenspezifischen PSA ergaumlnzende Informationen und systematische Erkenntnisse Dafuumlr koumlnnen die Minimalschnitte der einzelnen Ereignisablaufsequenzen im Hinblick auf ihre Zusammensetzung ihre Beitraumlge sowie ihre jeweiligen Unsicherheiten analysiert wer-den Bei der Analyse und Bewertung der Minimalschnitte sollten administrative Regelungen oder Personal-handlungen besonders beachtet werden insbesondere solche die gewisse Schwaumlchen in der Anlagenaus-legung kompensieren sollen

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 21: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

20

Generell hat die probabilistische Bewertung auf Basis der durchgefuumlhrten Analysen sowie der Stabilitaumlt der erzielten Ergebnisse unter Einbeziehung der jeweiligen Unsicherheiten zu erfolgen Dazu sind sowohl risiko-erhoumlhende als auch risikoreduzierende Aspekte zu bewerten Die Analyse der Unsicherheiten welche die Ursachenkomplexe Zuverlaumlssigkeitskenngroumlszligen Modellierung und Vollstaumlndigkeit umfasst ist entsprechend dem PSA-Leitfaden BA 05 bzw dem zugeordneten Metho-denband METH 05 (vgl auch die Ergaumlnzungen zu Methoden und Daten METH 15) durchzufuumlhren Der Aspekt der Unsicherheit in der PSA-Modellierung wird im Rahmen der SUuml beruumlcksichtigt durch Auswei-sen der Unsicherheiten durch eine konservative Betrachtungsweise oder durch Eingrenzen der Unsicherhei-ten mittels Sensitivitaumltsanalysen Der wesentliche Gesichtspunkt im Hinblick auf die Untersuchung und Bewertung der Unsicherheit in der Vollstaumlndigkeit uumlber den Rahmen der SUuml hinaus besteht darin moumlgliche Auswirkungen der sicherheitstech-nischen Fragestellung in derzeit nicht analysierten Bereichen der als Ausgangsbasis verfuumlgbaren anlagen-spezifischen PSA in geeigneter Weise einzuschaumltzen

51 AumlNDERUNGSMASSNAHMEN Im Hinblick auf die Bewertung von Ergebnissen probabilistischer Untersuchungen ist festzuhalten dass die Zielsetzung der Anwendung probabilistischer Untersuchungen zur sicherheitstechnischen Bewertung von Aumlnderungsmaszlignahmen der Nachweis ist dass das Sicherheitsniveau der Anlage auch mit den Aumlnderungs-maszlignahmen erhalten bleibt Dabei ist gegebenenfalls zu zeigen dass eine numerische Ergebnisverschlech-terung eines Einzelaspektes durch Bewertung des Nutzens der Aumlnderung sowie anderer inhaltlich damit ver-bundener Aspekte kompensiert wird so dass das integrale Sicherheitsniveau der Anlage insgesamt erhalten bleibt Eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage durch eine Aumlnderungsmaszlignahme ist auch unter expliziter im Allgemeinen qualitativer Bewertung von u U ebenfalls betroffenen Bereichen durchzufuumlhren die im Umfang der als Ausgangsbasis verfuumlgbaren anlagenspezifi-schen PSA derzeit nicht enthalten sind Dies sind z B die Untersuchung uumlbergreifender Einwirkungen im Nichtleistungsbetrieb oder eine PSA der Stufe 2 die uumlber die Untersuchung von anlageninternen ausloumlsen-den Ereignissen im Leistungsbetrieb hinausgeht Fuumlr den Fall dass z B mehrere unterschiedliche Anlagenaumlnderungen zusammengefasst werden kann eine zusammenfassende gesamtheitliche Analyse und Beurteilung durchgefuumlhrt werden und keine in Einzelas-pekte zerlegte Bewertung Dies betrifft Aumlnderungen die jeweils hinreichend hohe Einzelbeitraumlge liefern und bei denen uumlbergreifende Effekte Wechselwirkungen und Schnittstellen usw vorliegen die durch Einzelana-lysen nicht mehr ausreichend erfasst werden koumlnnen Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr Aumlnderungen an Maszlignah-men Einrichtungen oder der Betriebsweise der Anlage eine gesamtheitliche Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage vorgenommen werden und somit Entscheidungsalternativen ergaumlnzend risikoinformiert bewertet werden

52 EREIGNIS- BZW ANLASSBEZOGENE FRAGESTELLUNGEN Zielsetzung der ereignis- bzw anlassbezogenen probabilistischen Untersuchungen ist die Bewertung der sicherheitstechnischen Relevanz d h die sicherheitstechnische Bewertung der ermittelten Risikoaumlnderun-gen unter vorgegebenen Randbedingungen oder auch eine relative Bewertung abhaumlngig von unterschiedli-chen jeweils moumlglichen Varianten Je nach der zu bewertenden anlassbezogenen Fragestellung ist eine Aumlnderung der Haumlufigkeiten von Scha-denszustaumlnden und Freisetzungen fuumlr den zu untersuchenden Zeitraum oder die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzungen in dem zu untersuchenden Zeitraum der geeignetere Bewertungs-maszligstab Vgl auch die Beispiele in Anhang 5 Fuumlr Anlagenbetriebszustaumlnde des Nichtleistungsbetriebs koumlnnen vergleichbare Groumlszligen abgeleitet werden Da in der Regel eine PSA der Stufe 2 fuumlr diese Anlagenbetriebszustaumlnde nicht vorliegt ist es gegebenenfalls notwendig eine vereinfachte Bewertung in Bezug auf Auswirkungen auf Freisetzungshaumlufigkeiten vorzuneh-men Diese Bewertungen sollten auf der anlagenspezifischen PSA der Stufe 2 fuumlr den Leistungsbetrieb und der PSA der Stufe 1 fuumlr den Nichtleistungsbetrieb beruhen Bei Fragestellungen wie z B der sicherheitstechnischen Bewertung mehrerer deterministisch zulaumlssiger Va-rianten oder Strategien ist diejenige zu bevorzugen welche mit der geringsten Verschlechterung der PSA-Ergebnisse verbunden ist sind diese vergleichbar koumlnnen andere Argumentationen herangezogen werden

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 22: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

21

Bei einer Bewertung eines aufgetretenen meldepflichtigen Ereignisses koumlnnen die relativen wie auch die ab-soluten Erhoumlhungen in den PSA-Ergebnissen vergleichbar ermittelt werden u U sind bei den durchzufuumlh-renden Bewertungen Annahmen bezuumlglich des Andauerns eines Zustandes zu treffen (wie lange haumllt z B eine Kenntnisstandunsicherheit an bis Nachweise gegebenenfalls erbracht werden koumlnnen oder wie lange lag z B der Ausfall einer sicherheitstechnischen Komponente schon vor) In diesen Faumlllen kann eine Einord-nung der aufgetretenen Aumlnderung im PSA-Ergebnis als ergaumlnzende sicherheitsrelevante Erkenntnis zur Un-terstuumltzung von Entscheidungen herangezogen werden Mit der in dieser Anwendungsunterlage beschriebenen Vorgehensweise kann fuumlr ereignis- bzw anlassbezo-gene Fragestellungen die sicherheitstechnische Relevanz bewertet werden d h es kann die sicherheits-technische Bewertung der ermittelten Aumlnderungen der PSA-Ergebnisse unter vorgegebenen Randbedingun-gen oder auch eine relative Bewertung abhaumlngig von unterschiedlichen jeweils moumlglichen Varianten vorge-nommen und somit die Basis fuumlr die zu treffende Entscheidung um Risikoinformation ergaumlnzt werden

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 23: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

22

LITERATURVERZEICHNIS AtSMV Bundesministerium fuumlr Umwelt Naturschutz und Reaktorsicherheit Atomrechtliche

Sicherheitsbeauftragten- und Meldeverordnung vom 14Oktober 1992 (BGBl I S 1766) die zuletzt durch Artikel 1 der Verordnung vom 8 Juni 2010 (BGBl I S 755) geaumlndert worden ist

BA 05 Bundesanzeiger Bekanntmachung des Leitfadens zur Durchfuumlhrung der Sicherheitsuumlberpruumlfung gemaumlszlig sect 19a des Atomgesetzes - Leitfaden Probabilistische Sicherheitsanalyse - fuumlr Kernkraftwerke in der Bundesrepublik Deutschland 30082005 Nummer 207a 03112005

BA 15 Bundesministerium fuumlr Umwelt Naturschutz Bau und Reaktorsicherheit (BMUB) Sicherheitsanforderungen an Kernkraftwerke Bekanntmachung vom 3 Maumlrz 2015 BAnz AT 30022015 B2 httpwwwbmubbunddethemenatomenergie-strahlenschutznukleare-sicherheitdetails-nukleare-sicherheitartikelsicherheitsanforderungen-an-kernkraftwerke

DAT 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Daten zur Quantifizierung von Ereignisablaufdiagrammen und Fehlerbaumlumen Stand August 2005 BfS-SCHR-3805 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243838

ENSI 15 Eidgenoumlssisches Nuklearsicherheitsinspektorat (ENSI) Probabilistische Sicherheitsanalyse (PSA) Anwendungen Richtlinie fuumlr die schweizerischen Kernanlagen Bericht ENSI-A06 Ausgabe November 2015

IAEA 08a International Atomic Energy Agency (IAEA) Risk Informed Decision Making Draft Safety Guide DS365 10042008

IAEA 16 International Atomic Energy Agency (IAEA) Safety Assessment for Facilities and Activities General Safety Requirements Part 4 IAEA Safety Standards No GSR Part 4 (Rev 1) 2016 httpwww-pubiaeaorgbooksIAEABooks10884Safety-Assessment-for-Facilities-and-Activities

KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

METH 05 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Methoden zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Stand August 2005 BfS-SCHR-3705 Bundesamt fuumlr Strahlenschutz (BfS) Salzgitter Oktober 2005 httpsdorisbfsdejspuihandleurnnbnde0221-201011243824

METH 15 Facharbeitskreis (FAK) Probabilistische Sicherheitsanalyse fuumlr Kernkraftwerke Ergaumlnzungen zu Methoden und Daten zur probabilistischen Sicherheitsanalyse fuumlr Kernkraftwerke Mai 2015 httpsdorisbfsdejspuihandleurnnbnde0221-2016091314090

RSK 13 Reaktorsicherheitskommission (RSK) RSK-Verstaumlndnis der Sicherheitsphilosophie Bekanntmachung vom 5122013 BAnz AT 05122013 B4

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 24: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

23

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 25: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

24

ANHAumlNGE Ein wesentlicher Aspekt in der probabilistischen Bewertung sicherheitstechnischer Fragestellungen auszliger-halb der SUuml besteht darin sich ein Gesamtbild uumlber die Frage und ihre moumlglichen Auswirkungen auf die An-lage und ihr Sicherheitsniveau zu verschaffen Dazu ist es notwendig auch Auswirkungen zu beruumlcksichti-gen die nicht auf den ersten Blick einleuchtend sind der Anspruch der PSA eine ganzheitliche Bewertung eines Vorgangs zu erlauben begruumlndet sich darin dass mit ihr auch Wechselwirkungen erkannt werden koumlnnen die in einer deterministischen Analyse nicht auffallen wuumlrden Die Fragen in Anhang 1 dienen dazu sich die wesentlichen Teilbereiche einer PSA vor Augen zu fuumlhren Die Anzahl der Fragen die positiv beantwortet werden kann eine erste grobe Einordnung ermoumlglichen ob und in welchem Maszlig ein Einfluss einer zu bewertenden Fragestellung auf die PSA zu erwarten ist und ob eine detaillierte Untersuchung notwendig ist Wenn viele Fragen positiv beantwortet werden und somit viele Teil-bereiche betroffen sind ist moumlglicherweise eine umfangreiche Bewertung und gegebenenfalls eine neue Ge-samtbewertung der PSA erforderlich Sind nur wenige oder nur ein Teilbereich betroffenen kann gegebe-nenfalls eine isolierte Betrachtung dieses Bereichs und eine punktuelle Bewertung und Berechnung genuuml-gen Allerdings spielt nicht nur die Anzahl der betroffenen Teilbereiche bei dieser Einordnung eine Rolle sondern auch die Tiefe mit der jeder einzelne Bereich betroffen ist Um dies einzuschaumltzen koumlnnen die Fragen in Anhang 2 herangezogen werden Die Fragen wurden so gewaumlhlt dass sie ein moumlglichst breites Feld abde-cken und eine Vielfalt von Aspekten ansprechen die fuumlr den entsprechenden Teilbereich der PSA relevant sind ohne dabei Anspruch auf Vollstaumlndigkeit (im Sinne einer Beruumlcksichtigung jedes kleinsten Effekts) zu erheben Sie sollen nicht als simpler janein-Fragebogen verwendet werden sondern sind eher als Gedaumlcht-nisstuumltze und Anregung fuumlr eigene weitere Uumlberlegungen gedacht Trotz dieser Einschraumlnkung kann die An-zahl der positiv beantworteten Fragen insbesondere bei Beruumlcksichtigung der Unterscheidung nach explizit und quantitativ und nur qualitativ als Indiz fuumlr die Einordnung der betrachteten Fragestellung nach dem in Abb 1 dargestellten Vorgehen dienen Bei der Verwendung der in Anhang 1 und 2 dargestellten TabellenFragelisten sollte daher beachtet werden dass sie den Gutachter bei der Durchfuumlhrung des Screening-Prozesses unterstuumltzen indem sie die Vielfalt der moumlglichen Einfluumlsse aufzeigt und eine qualitative Einordnung moumlglicher Auswirkungen erlaubt z B im Sinne von Viele Teilbereiche der PSA (Anhang 1) betroffen aber nur jeweils wenige Aspekte und die nur qualitativ (Anhang 2) oder Nur ein Teilbereich der PSA betroffen aber der quantitativ und in erheblichem Maszlig oder andere Kombinationen Allerdings kann aufgrund der Vielfalt der moumlglichen Kombinationen keine einfache direkte Zuordnung zu den Entscheidungsrauten im Screening-Prozess nach Abb 1 angegeben werden Eine gutachterliche Einschaumltzung bleibt im Screening-Prozess unverzichtbar Sie wird durch die in den An-haumlngen 1 und 2 dargestellten TabellenFragelisten systematisiert und auf eine umfassende breite Basis ge-stellt

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 26: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

25

ANHANG 1 FRAGENLISTE ZUR UNTERSTUumlTZUNG UND DOKUMENTATION DES SCREENING-PROZESSES FUumlR EINE SICHERHEITSTECHNISCHE FRAGE-STELLUNG

Nr Frage Einordnung

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedingun-gen haben

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanalysen haben

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeitskenn-groumlszligen haben

6 Kann die Fragestellung Auswirkungen auf gemeinsam verur-sachte Ausfaumllle (GVA) haben

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Personalhandlungen haben

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 27: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

26

ANHANG 2 FRAGENLISTE ZUR FESTSTELLUNG DER MOumlGLICHEN AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGE-STELLUNG AUF DIE PSA-MODELLIERUNG

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

1 Kann die Fragestellung Auswirkungen auf das Spektrum ausloumlsender Ereignisse haben

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse eingefuumlhrt

12 Werden durch die Fragestellung Aumlnderungen angesprochen die zu einer Modifikation der Gruppen ausloumlsender Ereignisse fuumlhren

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereignisse notwendig

14 Wird durch die Fragestellung die Wahrscheinlichkeit von System-ausfaumlllen erhoumlht die vorher durch Gruppen ausloumlsender Ereignisse abgedeckt waren so dass eine explizite Betrachtung notwendig wird

2 Kann die Fragestellung Auswirkungen auf Wirksamkeitsbedin-gungen haben

21 Werden durch die Fragestellung Modifikationen der Wirksamkeitsbe-dingungen notwendig

22 Werden durch die Modifikationen von Wirksamkeitsbedingungen Aumln-derungen bei anderen Kriterien wie z B gegenseitige Abhaumlngigkeiten von Systemen notwendig

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 28: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

27

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

3 Kann die Fragestellung Auswirkungen auf Ereignisablaufanaly-sen haben

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbindung gebracht werden koumlnnen Wenn ja sind die Verzweigungen in den Ereignisablaufdiagrammen adaumlquat

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablaufdiagrammen beruumlcksichtigt waren

33 Werden durch die Fragestellung eine Neuordnung der Systemfunkti-onen in den Ereignisablaufdiagrammen notwendig (z B zeitliche Abfolge der Abfragen)

4 Kann die Fragestellung Auswirkungen auf die Modellierung von Systemfunktionen haben

41 Wird durch die Fragestellung die Systemtechnik so betroffen dass sich die zugrunde zu legenden Zuverlaumlssigkeitsmodelle veraumlndern

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 29: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

28

5 Kann die Fragestellung Auswirkungen auf Zuverlaumlssigkeits-kenngroumlszligen haben

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Verbindung gebracht werden oder wird die Definition neuer Basisereignisse notwendig

52 Wird durch die Fragestellung ein spezielles Zuverlaumlssigkeitsmodell (z B zeitabhaumlngige Modelle usw) notwendig

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen notwendig

54 Werden durch die Fragestellung neue Komponenten-Ausfallarten eingefuumlhrt

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

56 Wird es durch die Fragestellung notwendig anlagenspezifische Daten heranzuziehen und kann dies durch Aktualisierung der vorherigen Zuverlaumlssigkeitskenngroumlszligen erreicht werden

57 Beinhaltet die Fragestellung Gesichtspunkte die u U Zuverlaumlssig-keitskenngroumlszligen betreffen und reflektieren die vorliegenden Parameterschaumltzungen den aktuellen Anlagenzustand

6 Kann die Fragestellung Auswirkungen auf gemeinsam verursachte Ausfaumllle (GVA) haben

61 Werden durch die Fragestellung neue GVA-Beitraumlge eingefuumlhrt oder lassen solche erwarten

62 Wird durch die Fragestellung eine andere GVA-Komponenten-Grup-penbildung notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 30: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

29

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beein-flusst

7 Kann die Fragestellung Auswirkungen auf die Bewertung von Perso-nalhandlungen haben

71 Ist die Fragestellung mit der Aumlnderung einer Prozedur verbunden

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Personalhandlungen veraumlndert

74 Wird durch die Fragestellung die Bewertung von Abhaumlngigkeiten be-einflusst

75 Wird durch die Fragestellung eine bestehende Maszlignahme modifiziert oder eliminiert

76 Werden durch die Fragestellung Abhaumlngigkeiten zwischen Instrumentierungen und Maszlignahmen eingefuumlhrt oder modifiziert

77 Werden durch die Fragestellung Ereignisse betroffen die derzeit nicht in der PSA-Modellierung enthalten sind

78 Werden von der Fragestellung einzelne Einflussgroumlszligen (PSFs) oder Gruppen von Einflussgroumlszligen betroffen und werden diese explizit in der Bewertung der Zuverlaumlssigkeit von Personalhandlungen angesprochen

79 Wird die Fragestellung abhaumlngig gemacht von der Bewertung geaumlnderter Einflussgroumlszligen und wenn ja reflektieren die vorliegen-den Einschaumltzungen den aktuellen Stand dieser Einflussgroumlszligen

710 Ist es moumlglich dass die spezielle Gruppe von Fehlerereignissen die durch die Fragestellung betroffen wird vorher abgeschnitten wurde

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 31: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

30

711 Werden durch die Fragestellung neue Moumlglichkeiten angesprochen Fehler zu entdecken und wieder auszugleichen

8 Kann die Fragestellung Auswirkungen auf anlageninterne Uumlberflutungen haben

81 Wird durch die Fragestellung die qualitative Screening-Analyse beeinflusst

82 Werden durch die Fragestellung neue Flutquellen eingefuumlhrt oder bestehende potenzielle Flutinventare veraumlndert

83 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von flutungsbegrenzenden Einrichtungen beeinflusst

84 Werden durch die Fragestellung Uumlberflutungsausbreitungspfade be-einflusst

85 Werden durch die Fragestellung kritische Fluthoumlhen beeinflusst

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflutungsanalysen beeinflusst

9 Kann die Fragestellung Auswirkungen auf anlageninterne Braumlnde haben

91 Wird durch die Fragestellung die Auswahl von Brandbereichen beeinflusst

92 Werden durch die Fragestellung neue Zuumlndquellen Brandlasten eingefuumlhrt oder bestehende Zuumlndquellen Brandlasten veraumlndert

93 Wird durch die Fragestellung eine Neubewertung der Brandeintritts-haumlufigkeit notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 32: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

31

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmeldung Brandschutz und Brandbe-kaumlmpfung beeinflusst

95 Werden durch die Fragestellung Brandausbreitungspfade beeinflusst

96 Werden durch die Fragestellung Zeitbetrachtungen in den Brandanalysen beeinflusst

97 Wird durch die Fragestellung brandbedingt die Funktion von Systemen betroffen

10 Kann die Fragestellung Auswirkungen auf Einwirkungen von auszligen (Erdbeben Hochwasser EDW FLAB) haben

101 Wird durch die Fragestellung die Aktualitaumlt der seismischen Standortgefaumlhrdungsanalyse beeinflusst

102 Wird durch die Fragestellung die qualitative seismische Screening-Analyse beeinflusst

103 Wird durch die Fragestellung die seismische Versagenswahrschein-lichkeit von Einrichtungen erhoumlht

104 Werden durch die Fragestellung seismische Wechselwirkungen und Abhaumlngigkeiten beeinflusst

105 Wird durch die Fragestellung die Aktualitaumlt der Hochwassergefaumlhr-dungsanalyse beeinflusst

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 33: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

32

106 Werden durch die Fragestellung Hochwasserschutzmaszlignahmen be-einflusst

107 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeit ei-ner EDW eines FLAB notwendig

11 Kann die Fragestellung Auswirkungen auf die Quantifizierung haben

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sensitivitaumlten veraumlndert

112 Werden durch die Fragestellung relative Groumlszligenordnungen von Nichtverfuumlgbarkeiten veraumlndert

113 Werden durch die Fragestellung nur Nichtverfuumlgbarkeiten kleiner

114 Werden durch die Fragestellung veraumlnderte Abschneidegrenzwerte in der Auswertung notwendig

115 Werden durch die Fragestellung implizite Annahmen beeinflusst (z B Modulbildung bei der Modellierung leittechnischer System-funktionen)

116 Werden durch die Fragestellung technische Einrichtungen fuumlr schutzzielorientierte Maszlignahmen beeinflusst

12 Kann die Fragestellung Auswirkungen auf die Analyse der Ergebnisse haben

121 Wird durch die Fragestellung eine Bewertung der Unsicherheiten notwendig und hat diese qualitativ oder quantitativ zu sein

122 Gibt es Unsicherheiten bei der Fragestellung die durch Sensitivitaumltsanalysen geklaumlrt und eingegrenzt werden koumlnnen

123 Wird durch die Fragestellung eine Importanzanalyse notwendig

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 34: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

33

124 Wird durch die Fragestellung die Durchfuumlhrung von Importanz- Unsicherheits- oder Sensitivitaumltsanalysen der Ausgangsbasis notwendig

13 Kann die Fragestellung Auswirkungen auf die Kategorisierung von Endzustaumlnden haben

131 Wird durch die Fragestellung die Auswahl der verwendeten Parameter zur Definition der Endzustaumlnde betroffen

132 Werden die wesentlichen zu untersuchenden Endzustaumlnde - durch Beruumlcksichtigung der Endzustaumlnde mit signifikanten Eintrittshaumlufig-keiten - weiter adaumlquat durch die Ergebnisse der Level 1 PSA repraumlsentiert

133 Wird durch die Fragestellung die Kategorisierung der Endzustaumlnde insbesondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumlts-freisetzung beeinflusst

14 Kann die Fragestellung Auswirkungen auf die PSA der Stufe 2 haben

141 Ergeben sich durch die Fragestellung zusaumltzliche Freisetzungspfade oder werden bestehende veraumlndert (etwa im Hinblick auf den Weg auf dem Radionuklide in die Umgebung gelangen) oder blockiert

142 Hat die Fragestellung Einfluss auf die zu erwartenden Unfallablaumlufe und die dabei auftretenden Phaumlnomene

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 35: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

34

143 Beeinflusst die Fragestellung den Zeitverlauf des Unfalls z B hin-sichtlich des Zeitpunkts zu dem bestimmte Phaumlnomene auftreten

144 Macht die Fragestellung eine Neubewertung der Verzweigungswahr-scheinlichkeiten im Unfallablaufbaum notwendig

145 Hat die Fragestellung Einfluss auf die Versagenswahrscheinlichkei-ten des SHB insbesondere im Hinblick und die potenziellen Versagensstellen und -mechanismen

146 Beeinflusst die Fragestellung das Kerninventar (Aumlnderung der Zusammensetzung)

147 Beeinflusst die Fragestellung die Menge und den Zeitpunkt von Spaltproduktfreisetzungen

148 Macht die Fragestellung eine Neudefinition der Freisetzungskatego-rien notwendig

149 Hat die Fragestellung Einfluss auf die Haumlufigkeit der Freisetzungs-kategorien und die zugehoumlrigen Quellterme

Nr Frage Identifikation der Bereiche die durch die sicherheitstechnischen Fragestellungen betroffen sind

Beruumlcksichtigung der betroffenen Bereiche in der PSA

explizit und quantitativ

nur qualitativ

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 36: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

35

ANHANG 3 MODIFIKATIONEN IN DER PSA-MODELLIERUNG DER ZUGRUNDELIEGENDEN PSA (AUSGANGSBASIS Z B RISK SPECTRUM PROJEKTDATENBASIS STAND XY)

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation

alt neu entfallen

Parameter -

-

beispielsweise Wert geaumlndert Erwartungswert von nach

Verteilungstyp geaumlndert von nach Verteilungsparameter geaumlndert von nach

House Event Exchange Event

-

-

beispielsweise Beschreibung geaumlndert

Zuordnung zu BC-Set geaumlndert von nach

Status geaumlndert von nach

Basisereignis -

-

beispielsweise Beschreibung geaumlndert

Typ geaumlndert von nach

Exchange Event ergaumlnzt zugeordnet zu BC

Status geaumlndert von nach

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 37: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

36

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Gatter -

-

beispielsweise Typ geaumlndert von nach

Beschreibung geaumlndert

Status von nach

Exchange Event um ergaumlnzt von nach ausgetauscht

Fehlerbaum-Seite -

-

beispielsweise Transfer von geaumlndert nach

House Event ergaumlnzt verschoben von nach geloumlscht

BE ergaumlnzt verschoben von nach geloumlscht

Gatter ergaumlnzt verschoben von nach geloumlscht

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 38: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

37

lfd Nr

Datum Aumlnderung

Beschreibung Modifikation

RSP-Objekt

Objekt Name Modifikation alt neu

entfallen

Function Event Initiating Event

-

-

beispielsweise BC geaumlndert von nach

Zuordnung BEGatter geaumlndert von nach

Success Treatment geaumlndert von nach

Status geaumlndert von nach

Boundary Condi-tion Set (BC Set)

-

-

beispielsweise Beschreibung geaumlndert

House Event ergaumlnztgeloumlscht

Basisereignis ergaumlnztgeloumlscht

Gatter ergaumlnztgeloumlscht

Status geaumlndert von nach

Ereignisablauf- diagramm

-

-

beispielsweise BC geaumlndert von nach bei

IE-Zuordnung geaumlndert von nach

Function Event ergaumlnzt verschoben von nach geloumlscht

Pfad ergaumlnztgeloumlscht

Konsequenz ergaumlnztgeloumlscht

Zuordnung Endzustaumlnde geaumlndert von nach bei

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 39: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

38

ANHANG 4 BEWERTUNG MOumlGLICHER AUSWIRKUNGEN EINER SICHERHEITSTECHNISCHEN FRAGESTELLUNG AUF DERZEIT NICHT EXPLIZIT MODELLIERTE BEREICHE Aspekt Ausgangszustand Beabsichtigt Umgesetzt

Strategie

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 40: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

39

ANHANG 5 KONKRETE BEISPIELE In diesem Abschnitt werden konkrete Beispiele fuumlr unterschiedliche Anwendungsfaumllle bereitgestellt welche die Durchfuumlhrung probabilistischer Analysen zur Bewertung technischer Aumlnderungen bzw Aumlnderungen der Betriebsweise der Anlage sowie zur sicherheitstechnischen Einordnung von Erkenntnissen aus sicherheits-relevanten Ereignissen erlaumlutern vgl hierzu auch die allgemein zugaumlnglichen Veroumlffentlichungen SPI 98 SPI 04a SPI 04b SPI 06 KRA 06 WIL 08 VOG 08 SCH 08 SPI 09a SPI 09b SPI 09c SPI 10 SPI 11 SPI 12 Fuumlr die einzelnen Faumllle wird jeweils auf die grundlegende Fragestellung die konkrete Vorgehensweise sowie die erzielten Ergebnisse mit den gezogenen Schlussfolgerungen eingegangen Zuletzt wird in einer Kurzdar-stellung angegeben wie der Screening-Prozess ablief (anhand der in Anhang 1 und Anhang 2 dargestellten Fragelisten) zu welcher Kategorie des gestaffelten Vorgehens das Beispiel gehoumlrt und warum diese gewaumlhlt wurde Die Darstellung des Screening-Prozesses anhand der Fragelisten ist dabei nur exemplarisch zu ver-stehen und erhebt keinen Anspruch auf Vollstaumlndigkeit Die Beispiele gehen auf tatsaumlchliche Vorgaumlnge aus der aufsichtlichen Praxis zuruumlck sind jedoch fuumlr die Ver-wendung in der vorliegenden Anwendungsunterlage anonymisiert und z T leicht verfremdet worden Dar-uumlber hinaus war es unumgaumlnglich die Darstellung auf die wesentlichen Aspekte des Vorgangs in Bezug auf die probabilistische Bewertung zu beschraumlnken um den Umfang der Beschreibung in einem vertretbaren Rahmen zu halten Somit erfassen die Beispiele nicht alle Einzelheiten und Komplexitaumlten der Vorgehens-weise von Sachverstaumlndigen und Behoumlrden aufgrund dieser notwendigen Einschraumlnkung duumlrfen die Bei-spiele nicht als Darstellung eines behoumlrdlichen Aufsichtsverfahrens verstanden werden Daruumlber hinaus wird darauf hingewiesen dass die Bearbeitung der Vorgaumlnge in der Regel nicht unter dem derzeit guumlltigen Regel-werk sondern unter verschiedenen Vorgaumlngerversionen erfolgte da lediglich abgeschlossene Vorgaumlnge als Beispiel herangezogen wurden

A 51 ERWEITERUNG DER FD-ABBLASEREGELUNG IM REAKTORSCHUTZZSYSTEM (GEPLANTE AumlNDERUNG)

Fragestellung

Die vom Betreiber beantragte Anlagenaumlnderung sollte die Zuverlaumlssigkeit der Frischdampf (FD)-Abblasere-gelung erhoumlhen Im Einzelnen wurden folgende Maszlignahmen uumlber eine Aumlnderungsanzeige geplant und durchgefuumlhrt bull Die Istwert-Erfassung des Speisewasserdruckes wird vorher von einem auf drei Messkanaumlle pro Abbla-

seregelung erweitert wobei Abweichungen von den Einzelmesswerten erkannt und gemeldet werden bull Die Funktion des betrieblichen 50 Kh-Abfahrens wird in die Abblaseregelung des Reaktorschutzsystems

integriert bull Es wird eine Pruumlfeinrichtung installiert die alle FD-Abblaseregelungen staumlndig uumlberpruumlft d h es werden

die Sollwertkurven 100 Kh und 50 Kh staumlndig durchfahren (Pruumlfautomat) und dabei Abweichungen der Regeldifferenz durch Vergleicher uumlberwacht bzw gemeldet

bull Die FD-Abblaseregelventile werden nicht mehr nur beim Anfahren der Anlage sondern viermonatlich im Rahmen der 100 Kh-Abfahrsignalpruumlfung gepruumlft

Vorgehensweise

Zur probabilistischen Bewertung der Aumlnderung wurde im Rahmen des Screening-Prozesses zunaumlchst der Einfluss der FD-Abblaseregelung auf das Ergebnis der im Rahmen der SUuml vorgelegten Probabilistischen Si-cherheitsanalyse betrachtet Es wurde festgestellt dass in der PSA fuumlr anlageninterne ausloumlsende Ereig-nisse im Leistungsbetrieb (LB-PSA) die Haumlufigkeiten der Gefaumlhrdungszustaumlnde (HGZ) der ausloumlsenden Er-eignisse Kleines Leck im Primaumlrkreislauf (PKL) F lt 25 cmsup2 und Leck am Druckhalter durch fehloffenes Sicherheitsventil vom Ausfall des 100 Kh-Abfahrens bestimmt wurden wobei Ausfallkombinationen mit ge-meinsam verursachten Ausfaumlllen (GVA) unabhaumlngigen Ausfaumlllen der FD-Abblaseregelventile und Fehlauslouml-sungen des DAF-Signales (Schneller Frischdampfdruckabfall) wesentliche Beitraumlge lieferten

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 41: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

40

Zur Ermittlung des Einflusses der geplanten Aumlnderung auf die LB-PSA wurden die oben genannten Maszlignah-men in der bestehenden Modellierung umgesetzt indem das Testintervall fuumlr die FD-Abblaseregelventile an-gepasst und die entsprechenden Basisereignisse mit den zugehoumlrigen GVA in der FD-Abblaseregelung uumlberarbeitet wurden Anschlieszligend wurde die Haumlufigkeit der Gefaumlhrdungszustaumlnde mit der neuen Modellie-rung ermittelt

Ergebnisse

Durch die 3-kanalige Messwerterfassung und die staumlndige Funktionsuumlberwachung durch den Pruumlfautomaten wird die Zuverlaumlssigkeit der FD-Abblaseregelung erhoumlht Daruumlber hinaus wird die Nichtverfuumlgbarkeit der FD-Abblaseregelventile durch die viermonatliche Funktionspruumlfung deutlich verringert In der nachfolgenden Tabelle 2 sind Anteile der relevanten ausloumlsenden Ereignisse an der Haumlufigkeit der Gefaumlhrdungszustaumlnde vor und nach der geplanten Erweiterung der FD-Abblaseregelung dargestellt Da das 100 Kh-Abfahren nur bei den Leckstoumlrfaumlllen erforderlich ist ergibt sich hierbei eine deutliche Verringerung der Haumlufigkeit der Gefaumlhrdungszustaumlnde wodurch bei den anderen Ereignisgruppen wie Transienten und uumlbergreifenden Ereignisse die relativen Anteile zunehmen Insgesamt halbiert sich die Haumlufigkeit der Ge-faumlhrdungszustaumlnde

Tabelle 2 Anteile der ausloumlsenden Ereignisse an der Haumlufigkeit von Gefaumlhrdungszustaumlnden vor bzw nach Erweiterung der FD-Abblaseregelung (geplante Aumlnderung)

Ausloumlsendes Ereignis Relativer Anteil HGZ vor Erweiterung der FD-Abblaseregelung

Relativer Anteil HGZ nach Erweiterung der FD-Abblaseregelung

Kleines Leck im PKL F lt 25 cmsup2

S1 390 133

Kleines Leck im PKL 25 cmsup2lt Flt 200 cmsup2

S2 24 10

Leck am Druckhalter S3 112 39

Fehloffenes DH-Abblaseventil im Notstromfall

S6T1 56 32

Fehloffenes DH-Abblaseventil

nach TUSA

S6T3 37 10

DE-Heizrohrleck S7 98 190

Summe Lecks im PKL S1-S7 712 422

Summe Transienten T1-T6 257 515

Uumlbergreifende auslouml-sende Ereignisse

- 31 63

Es wurde somit durch die sofortige probabilistische Bewertung festgestellt dass die geplante Aumlnderung (Er-weiterung der FD-Abblaseregelung) geeignet ist um die Ausgewogenheit des Sicherheitskonzeptes der An-lage zu verbessern

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 42: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

41

Kurzdarstellung

Typ geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 2 4 5 und 6 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden die Fragen 53 und 63 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumls-sigkeitskenngroumlszligen notwendig

Aumlnderung des Testintervalls fuumlr die FD-Abblaseregelven-tile

ja

63 Werden durch die Fragestellung GVA-Wahrscheinlichkeiten beeinflusst

GVA in der FD-Abblasere-gelung

ja

Kategorie c Fazit Da die im Rahmen der Anlagenaumlnderung geplanten Maszlignahmen eine Aumlnderung von Zuverlaumlssigkeits-kenngroumlszligen zur Folge hatten wurde im Screening-Prozess zunaumlchst die Relevanz des betroffenen Systems untersucht Da sich zeigte dass dieses System einen bedeutenden Einfluss auf das Ergebnis der bestehen-den PSA hat war die unmittelbare probabilistische Bewertung der Anlagenaumlnderung unumgaumlnglich Die Aumln-derungen wurden daher im PSA-Modell abgebildet wonach zunaumlchst die entsprechenden Pfade neu quanti-fiziert wurden um die erzielte Verbesserung fuumlr das System zu ermitteln Aufgrund der Bedeutung des be-troffenen Systems wurde abschlieszligend die gesamte PSA neu quantifiziert um die neue Gewichtung aller Gefaumlhrdungszustaumlnde nach Umsetzung der Aumlnderung zu ermitteln und so den Einfluss der Aumlnderung auf die Ausgewogenheit des Sicherheitskonzepts der Anlage quantitativ auszuweisen

A 52 BEWERTUNG DER AUSWIRKUNGEN EINER VORZEITIGEN FREISCHALTUNG EINER REDUN-DANZ EINES SICHERHEITSSYSTEMS WAumlHREND DES LEISTUNGSBETRIEBS (ANLASSBEZO-GENE BEWERTUNG)

Einleitung

Ausgangssituation war eine umfangreiche Aumlnderung und Erweiterung der leit- und verfahrenstechnischen Systeme des notstandssicheren Nachkuumlhlsystems eines SWR Die Haupttaumltigkeiten der Umruumlstmaszlignahmen sollten planmaumlszligig in zwei Phasen erfolgen bull Phase 1 Umruumlstung der Redundanz 7 in einer Revision Fertigstellung bis zum Wiederanfahren nach

der Revision bull Phase 2 Umruumlstung der Redundanz 6 in der darauffolgenden Revision Fertigstellung bis zum Wieder-

anfahren nach der Revision

Dieses Vorgehen war als Typ einer geplanten Aumlnderung bewertet worden und wurde im Rahmen des Scree-ning-Prozesses in die Kategorie b des gestaffelten Verfahrens gruppiert Ein Einfluss auf die Ergebnisse der PSA (im Sinne einer Verbesserung der Sicherheit der Anlage) wurde anhand der im Vorfeld erfolgten ge-samtheitlichen Analyse und Beurteilung ermittelt es wurde jedoch keine Notwendigkeit fuumlr eine sofortige Ak-tualisierung des PSA-Modells gesehen Dieses gesamte hier dargestellte Aumlnderungsvorhaben einschlieszliglich seiner Kategorisierung ist nicht Gegen-stand des Beispiels sondern dient lediglich der Hintergrundinformation und zum Verstaumlndnis fuumlr die folgende Diskussion eines Teilaspekts des Vorgangs Waumlhrend der Umsetzung der Aumlnderungsmaszlignahmen konnte die Durchfuumlhrung von Phase 1 Umbau der ers-ten Redundanz (Redundanz 7) erfolgreich innerhalb des vorgesehenen Zeitraums abgeschlossen werden Die konkrete detaillierte Planung fuumlr den Umbau der zweiten Redundanz (Redundanz 6) erfolgte im An-schluss daran Dabei stellte sich heraus dass zur erfolgreichen Durchfuumlhrung der Aumlnderungsmaszlignahme in

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 43: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

42

der Phase 2 die Auszligerbetriebnahme der Redundanz 6 des notstandssicheren Nachkuumlhlsystems zwei Mo-nate vor der Revision erforderlich sein wuumlrde da aufgrund der erforderlichen zeitlichen Staffelung der Arbei-ten ein groumlszligerer Zeitraum fuumlr sie anfallen wuumlrde Dies war zum Zeitpunkt der ersten Bewertung der Aumlnde-rungsmaszlignahme noch nicht bekannt gewesen und daher im Screening-Prozess nicht beruumlcksichtigt worden

Fragestellung

Der Betreiber stellte aus den oben genannten Gruumlnden den Antrag die Redundanz 6 des notstandssicheren Nachkuumlhlsystems bereits zwei Monate vor der naumlchsten Jahresrevision freischalten zu duumlrfen Da die bishe-rige Bewertung vor Durchfuumlhrung sich auf das gesamte Vorhaben als ein geschlossenes Aumlnderungsvorha-ben bezog handelte es sich um eine zusammenfassende gesamtheitliche Analyse und Beurteilung und keine zerlegte Bewertung von Einzelaspekten bezuumlglich der beiden Revisionen Zur Begruumlndung des Antrags wurden daher weitere probabilistische Untersuchungen durchgefuumlhrt die dem Typ einer anlassbezogenen Bewertung entsprachen mit der genannten zweimonatigen Freischaltung der Redundanz 6 des notstandssicheren Nachkuumlhlsystems als Anlass

Vorgehensweise

Die probabilistischen Analysen beinhalteten die Ermittlung des Sicherheitsniveaus der Anlage nach Durch-fuumlhrung der Aumlnderungen der Redundanz 7 (die bereits abgeschlossen aber noch nicht in der Modellierung der PSA aktualisiert war) waumlhrend der geplanten Freischaltung und fuumlr den zukuumlnftigen Zustand nach Ab-schluss der Aumlnderungsanzeige Zur Bewertung der Veraumlnderung des Sicherheitsniveaus der Anlage wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde aller betrachteten ausloumlsenden Ereignisse herangezogen Als Ausgangsbasis fuumlr die probabilistischen Betrachtungen wurde das Sicherheitsniveau der Anlage vor dem Umbau der beiden Redundanzen zugrunde gelegt Zur Bewertung der Veraumlnderung des integralen Sicherheitsniveaus der Anlage wurden folgende probabilisti-sche Untersuchungen durchgefuumlhrt bull Fall A In der verfuumlgbaren anlagenspezifischen PSA wurden die durchgefuumlhrten Aumlnderungen in der Re-

dundanz 7 modelliert wobei die Redundanz 6 unveraumlndert blieb Dabei wurde angenommen dass der Leistungsbetrieb ununterbrochen bis zur naumlchsten Revision d h ohne eine vorzeitige Freischaltung durchgefuumlhrt wird Die Haumlufigkeit der Gefaumlhrdungszustaumlnde ergibt sich aus dem Integral der zeitabhaumlngi-gen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse uumlber ein Jahr fuumlr alle ausloumlsenden Ereignisse

bull Fall B Fuumlr den ersten bis zum zehnten Monat wurde die Modellierung entsprechend Fall A beibehalten Fuumlr die restlichen zwei Monate wurde die Freischaltung der Redundanz 7 des Sicherheitssystems ange-nommen

Eine Voraussetzung fuumlr die Ermittlung des Integrals der zeitabhaumlngigen Nichtverfuumlgbarkeit d h der erwar-tete Anzahl von Gefaumlhrdungszustaumlnden ist dass die modellierten Systemfunktionen im Betrachtungszeit-raum unveraumlndert bleiben Durch Freischaltung des einen Stranges des betroffenen Sicherheitssystems ist diese Randbedingung nicht mehr erfuumlllt so dass die Berechnung der zeitabhaumlngigen Nichtverfuumlgbarkeit mit anschlieszligender Integration in zwei Phasen erfolgen musste bull Zunaumlchst wurde der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall A bestimmt (Abbil-

dung 3 Verlauf NV1) Fuumlr den Zeitraum vom ersten Monat bis zum 10 Monat wurde daraus das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F1) fuumlr alle ausloumlsenden Ereig-nisse ermittelt

bull Fuumlr die zweite Phase wurde zunaumlchst der Verlauf der zeitabhaumlngigen Nichtverfuumlgbarkeit entsprechend Fall B vom 11 bis zum 12 Monat ermittelt (Abbildung 3 Verlauf NV2) Danach wurde fuumlr diesen Zeit-raum auch das Integral der zeitabhaumlngigen Nichtverfuumlgbarkeit aus der zeitabhaumlngigen Analyse (F2) fuumlr alle ausloumlsenden Ereignisse bestimmt

bull Die beiden Flaumlchenwerte wurden fuumlr jedes ausloumlsende Ereignis aufsummiert und durch den Beobach-tungszeitraum dividiert woraus sich die mittlere Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr das Jahr d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden unter Beruumlcksichtigung des Aumlnde-rungsvorhabens ergab ndash anlassbezogen mit einer zweimonatigen Freischaltung der zweiten Redundanz

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 44: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

43

Abbildung 2 Qualitativer Verlauf der Nichtverfuumlgbarkeit der angeforderten Systemfunktionen fuumlr einen Ereignisablauf uumlber der Zeit

Untersuchungen wurden auch bezuumlglich der Beitraumlge von Ereignisablaufsequenzen ihrer Endzustaumlnde von ausloumlsenden Ereignissen sowie Gruppen von ausloumlsenden Ereignissen durchgefuumlhrt Da probabilistische Analysen zur Stufe 2 nicht vorlagen wurden qualitative einordnende Uumlberlegungen angestellt Diese betra-fen qualitative und quantitative Untersuchungen bezuumlglich der Kategorisierung von Endzustaumlnden der PSA der Stufe 1 im Hinblick auf die wesentlichen zu untersuchenden Endzustaumlnde in die PSA der Stufe 2 insbe-sondere bezuumlglich eines Potentials fruumlhzeitig hoher Aktivitaumltsfreisetzung

Ergebnisse

Als Ergebnis von Fall A ergab sich eine Reduktion der Haumlufigkeiten der Gefaumlhrdungszustaumlnde von ca 12 gegenuumlber dem Zustand vor dem Umbau der ersten Redundanz d h gegenuumlber der Ausgangsbasis Als Ergebnis von Fall B resultierte fuumlr alle ausloumlsenden Ereignisse eine Reduktion der Haumlufigkeiten der Ge-faumlhrdungszustaumlnde von ca 10 gegenuumlber der Ausgangsbasis Dies bedeutet fuumlr Fall B im Vergleich zum Fall A eine etwa 2 geringere Reduzierung der Haumlufigkeiten der Gefaumlhrdungszustaumlnde Damit konnte gezeigt werden dass die sich durch den Umbau der ersten Redundanz ergebende Reduktion der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde wesentlich signifikanter war als die relative Erhoumlhung durch die zweimonatige Freischaltung der zweiten Redundanz so dass insgesamt noch eine deutliche Erhoumlhung des Sicherheitsniveaus der Anlage gegenuumlber dem ausgewiesenen Sicherheitsniveau vor dem Umbau in der ersten Redundanz zu verzeichnen war Auf Basis dieser integralen Betrachtungsweise gestuumltzt durch die probabilistischen Untersuchungen und Bewertungen welche die Risikoentwicklung in Abhaumlngigkeit der Zeit explizit beruumlcksichtigten konnte das Ersuchen des Betreibers unterstuumltzt werden und die Aufsichtsbehoumlrde dem Antrag des Betreibers zustim-men

Kurzdarstellung der Einzelmaszlignahme

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden ua die Fragen 31 43 51 und 111 als relevant identifiziert

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 45: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

44

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

31 Werden durch die Fragestellung Gesichtspunkte angesprochen die mit einer speziellen Verzweigung oder Verzweigungen in den Ereig-nisablaufdiagrammen in Verbin-dung gebracht werden koumlnnen

z B Modellierung der Not-stromversorgung

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Ja ndash z B Modellierung der Notstromversorgung nein ndash die Modellierung muss nachgezogen werden

ja

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Neue Komponenten durch Umruumlstmaszlignahmen

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Redun-danzen

ja

Kategorie γ Fazit Die Fragestellung (Einzelmaszlignahme der vorgezogenen Freischaltung) ergab sich unvorhergesehen waumlhrend der Umsetzung einer geplanten und bereits bewerteten Aumlnderungsmaszlignahme so dass die Not-wendigkeit bestand eine neue Situation zu bewerten Die probabilistischen Untersuchungen dienten der Un-terstuumltzung eines Antrags des Betreibers fuumlr eine im Normalfall nicht vorgesehene Maszlignahme Die Argu-mentation beruhte auf der Aumlnderung der Haumlufigkeiten aller Gefaumlhrdungszustaumlnde im zeitlichen Verlauf der Umsetzung der Aumlnderungsmaszlignahme diese Aumlnderung der Haumlufigkeiten konnte nur ermittelt werden indem das PSA-Modell zum einen dem aktuellen aber nur temporaumlren Anlagenzustand angepasst und zum ande-ren eine integrale probabilistische Bewertung der gesamten Aumlnderung vorgenommen wurde in deren Rah-men das PSA-Modell dem neuen Zustand angepasst wurde

A 53 LECKAGE AN EINER ZWISCHENKUumlHLPUMPE IM NACHKUumlHLSYSTEM (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

In einer Anlage wurde bei der wiederkehrenden Pruumlfung (WKP) an einer Redundanz des Nachkuumlhlsystems eine erhoumlhte Leckage an der Gleitringdichtung der zugehoumlrigen Zwischenkuumlhlwasserpumpe entdeckt Nach Bewertung des Betreibers fuumlhrte diese Leckage nicht zu einer Einschraumlnkung der Verfuumlgbarkeit des Zwi-schenkuumlhlkreislaufes d h bei einer Anforderung haumltte die Zwischenkuumlhlwasserpumpe ihre auslegungsge-maumlszlige Funktion erfuumlllt Der Betreiber beantragte trotzdem die Zwischenkuumlhlwasserpumpe gegen eine intakte Reservepumpe waumlh-rend des Leistungsbetriebs auszutauschen Der Austausch der Zwischenkuumlhlwasserpumpe erforderte die Freischaltung eines Zwischenkuumlhlwasserstranges und fuumlhrte damit zur Nichtverfuumlgbarkeit eines Stranges des Nachkuumlhlsystems Die Dauer der Freischaltung wurde vom Betreiber mit ca vier Tagen angenommen in denen der Strang definiert nicht verfuumlgbar gewesen waumlreUngeachtet der angenommenen vollen Funktionsfaumlhigkeit der Zwischenkuumlhlwasserpumpe die aufgrund der sehr geringen Leckagemengen vom Gutachter bestaumltigt wurde konnte nicht ausgeschlossen werden dass bei einem weiteren Fortschreiten des Schaumldigungsmechanismus an der Gleitringdichtung die auslegungsge-maumlszlige Funktion der Zwischenkuumlhlwasserpumpe nicht mehr gegeben sein wuumlrde In diesem Fall haumltte es zwar

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 46: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

45

keine definierte Nichtverfuumlgbarkeit des Strangs durch eine Freischaltung zum Austausch gegeben aber es waumlre mit einer erhoumlhten Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu rechnen gewesen die u U bis zum Totalausfall bei einer entsprechenden Anforderung gefuumlhrt haumltte Die Aufsichtsbehoumlrde beauftragte daraufhin den Gutachter eine sicherheitstechnische Bewertung fuumlr den Austausch der Zwischenkuumlhlwasserpumpe durchzufuumlhren

Vorgehensweise

Zur Durchfuumlhrung dieser Bewertung war zunaumlchst festzustellen welche Funktionen durch die Freischaltung eines Zwischenkuumlhlwasserstranges betroffen sind Das Zwischenkuumlhlsystem ist ein Teil der Nachwaumlrmeab-fuhrkette und dient der Waumlrmeabfuhr beim Betrieb und bei Stoumlrfaumlllen und stellt zur Beherrschung von Stoumlrfaumll-len ein 4 x 50 -System dar Damit waren die folgenden Funktionen betroffen bull die Abfuhr der System- und Nachzerfallswaumlrme nach dem Abschalten des Reaktors (Abfahrkuumlhlen) bull das Kuumlhlen des Kondensationskammerwassers (Kondensationskammerkuumlhlen) bull das Ruumlckfoumlrdern von Wasser aus der Druckkammerbodenwanne in die Kondensationskammer (Ruumlckfoumlr-

dern aus dem Sumpf)

Bei diesen Funktionen haumltte durch die beantragte Freischaltung der Zwischenkuumlhlwasserpumpe ein Strang der Nachkuumlhlkette nicht mehr zur Verfuumlgung gestanden Der Gutachter hat deshalb zur Bewertung der sicherheitstechnischen Auswirkungen auf die Anlage ndash mit ei-nem Betrachtungszeitraum bis zur naumlchsten WKP an diesem Strang ndash zwei moumlgliche Vorgehensweisen un-tersucht bull Strategie A

sofortige Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasser-pumpe mit einer beantragten definierten Freischaltung von vier Tagen so dass anschlieszligend von dem bisherigen Zuverlaumlssigkeitsniveau fuumlr die Zwischenkuumlhlwasserpumpe ausgegangen werden konnte

bull Strategie B keine Durchfuumlhrung einer vorsorglichen Instandsetzungsmaszlignahme fuumlr die Zwischenkuumlhlwasserpumpe mit einer daraus resultierenden nicht auszuschlieszligenden erhoumlhten Ausfallwahrscheinlichkeit bis zu ei-nem Totalausfall der Zwischenkuumlhlwasserpumpe bei einer entsprechenden Anforderung

Zur Bewertung der beiden Strategien wurden folgende Modifikationen und Analysen durchgefuumlhrt wobei als zu betrachtender Zeitraum die Zeit bis zur naumlchsten WKP d h vier Wochen zugrunde gelegt wurde bull Strategie A

Zunaumlchst wurden die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr einen Zeitraum von vier Wochen ohne Freischaltung d h die erwartete Anzahl von Gefaumlhrdungszustaumlnden bestimmt Dann wurde der durch die freigeschaltete Zwischenkuumlhlwasserpumpe betroffene Strang aus der Modellierung entfernt Damit wurden dann die Haumlufigkeiten der Gefaumlhrdungszustaumlnde uumlber einen Zeitraum von 4 Wochen mit einer freigeschalteten Zwischenkuumlhlwasserpumpe (erwartete Dauer ca vier Tage) ermittelt

bull Strategie B Um die moumlgliche Erhoumlhung der Ausfallwahrscheinlichkeit der Zwischenkuumlhlwasserpumpe zu beruumlcksich-tigen wurden die Zuverlaumlssigkeitskenngroumlszligen fuumlr diese Pumpe (Start- und Betriebsversagen) stufen-weise erhoumlht und die Haumlufigkeiten der Gefaumlhrdungszustaumlnde fuumlr die ausloumlsenden Ereignisse bestimmt

Ergebnisse

Der Gutachter stellte aufgrund seiner Untersuchungen fest dass die Strategie A (sofortige vorsorgliche In-standsetzung) im Vergleich zu Strategie B (keine sofortige vorsorgliche Maszlignahme) praktisch keinen Unter-schied in den Auswirkungen auf das Sicherheitsniveau der Anlage aufweist wenn man einen Freischaltzeit-raum von vier Tagen der als einhaltbar bewertet wurde annimmt und durch Sensitivitaumltsanalysen eine ein-geschaumltzte Erhoumlhung in der Ausfallrate (Betriebs- und Startversagen) bis zu einem Faktor 10 unterstellt Bei Annahme einer noch signifikanteren Verschlechterung des Zuverlaumlssigkeitsniveaus fuumlr die Zwischenkuumlhl-wasserpumpe bis zu einem moumlglichen Totalausfall bei einer Anforderung bis zur naumlchsten WKP war die Strategie A d h die sofortige Durchfuumlhrung der Instandsetzungsmaszlignahme sicherheitstechnisch guumlnstigerDer Gutachter war unter Beruumlcksichtigung der o a Aspekte der Auffassung dass aus sicherheitstechni-scher Sicht die sofortige Instandsetzung der Zwischenkuumlhlwasserpumpe durchgefuumlhrt werden sollte Die Aufsichtsbehoumlrde schloss sich dieser sicherheitstechnischen Bewertung an und konnte somit aufgrund der Risikoabwaumlgung fuumlr die beiden moumlglichen Strategien dem Antrag des Betreibers zustimmen

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 47: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

46

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 4 5 8 11 und 12 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 43 53 55 111 und 122 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein Freischaltung des Strangs der betroffenen Zwischen-kuumlhlwasserpumpe

ja

53 Werden durch die Fragestellung Modifikationen einzelner Zuverlaumlssigkeitskenngroumlszligen not-wendig

Start- und Betriebsversagen der Zwischenkuumlhlwasser-pumpe

ja

55 Werden durch die Fragestellung Betriebszeiten von Komponenten beeinflusst

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

111 Werden durch die Fragestellung Nichtverfuumlgbarkeiten von Basiser-eignissen Importanzen oder Sen-sitivitaumlten veraumlndert

Freischaltung der Zwischen-kuumlhlwasserpumpe

ja

122 Gibt es Unsicherheiten bei der Fra-gestellung die durch Sensitivitaumlts-analysen geklaumlrt und eingegrenzt werden koumlnnen

Eingeschaumltzte Erhoumlhung der Ausfallrate der Zwischen-kuumlhlwasserpumpe

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war die Wahrscheinlichkeit von Schadenszustaumlnden und Freisetzun-gen in dem zu untersuchenden Zeitraum fuumlr zwei verschiedene Szenarien zu ermitteln Um einen Vergleich zu ermoumlglichen war die entsprechende Modellierung und Quantifizierung in dem PSA-Modell durchzufuumlh-ren (Anmerkung Das bestehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Instandsetzung der Pumpe wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die Fragestellung keinen offensichtli-chen Vor- oder Nachteil einer Strategie aufwies dies wurde letztlich durch die probabilistische Detailbewer-tung bestaumltigt

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 48: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

47

A 54 LECKAGE AM 110-KV-OumlLKABEL ZWISCHEN FREMDNETZTRANSFORMATOR UND DER SCHALTANLAGE EINES KKW (ANLASSBEZOGENE BEWERTUNG)

Fragestellung

Anmerkung Die Aussagen bezuumlglich der Festlegungen im Betriebsreglement beziehen sich auf den Zeit-punkt des hier geschilderten Vorgangs guumlltig ist somit als guumlltig zum Zeitpunkt der anlassbezogenen pro-babilistischen Bewertung zu verstehen Im Rahmen eines Schichtrundganges wurde eine Leckage am transformatorseitigen Endverschluss der Phase V des 110-kV-Oumllkabels zwischen Fremdnetztransformator und der 110-kV-Schaltanlage eines Kern-kraftwerks festgestellt Durch die regelmaumlszligige Sichtkontrolle des Endverschlusses durch die jeweilige Schicht uumlber einige Tage wurde keine Veraumlnderung des Zustandes beobachtet Auch die Oumlldruckuumlberwa-chung des Kabels zeigte auszliger den klimabedingten Schwankungen keine Veraumlnderungen Nach Bewertung des Betreibers fuumlhrte diese minimale Leckage nicht zu einer Einschraumlnkung der Verfuumlgbar-keit des Fremdnetztransformators Aufgrund der sehr geringen Leckagemengen wurde vom Gutachter be-staumltigt dass bei einer Anforderung der Fremdnetztransformator uneingeschraumlnkt verfuumlgbar gewesen waumlre Um die eventuelle Ausweitung des Schadens mit einer dann ad-hoc erforderlichen Reparatur zu vermeiden plante der Betreiber den Austausch des betroffenen Kabelteilstuumlckes in der anstehenden naumlchsten Revision Fuumlr die vorbereitenden Arbeiten die unmittelbar vor dem Beginn der Revision innerhalb einer Woche durch-gefuumlhrt werden sollten waumlre eine oberspannungsseitige Abschaltung des Fremdnetztransformators aus Gruumlnden der Arbeitssicherheit erforderlich gewesen Der Fremdnetztransformator waumlre waumlhrend dieser Zeit bei Bedarf trotzdem von Hand zuschaltbar gewesen Bei Nichtdurchfuumlhrung des Austausches waumlre bei ei-nem zu erwarteten Ausfall des 110-kV-Oumllkabels die gesamte Reparatur u U waumlhrend des Leistungsbetrie-bes durchzufuumlhren Entsprechend den Festlegungen des Betriebsreglements war dafuumlr eine maximale Zeit von 5 Monaten zulaumlssig Der Betreiber stellte grundsaumltzliche Uumlberlegungen an und begruumlndete die geplante Vorgehensweise von vor-bereitenden Erdarbeiten vor der Revision und die Durchfuumlhrung der eigentlichen Instandhaltungsmaszlignahme in der Revision damit dass bei der Ausweitung des Schadensmechanismus und einer dann gegebenenfalls im Leistungsbetrieb erforderlichen Reparatur sich unguumlnstigere Auswirkungen auf das Sicherheitsniveau er-geben wuumlrden Die vorgesehene Strategie diene somit der Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage

Vorgehensweise

Entsprechend den Festlegungen des Betriebsreglements muumlssen fuumlr die elektrische Energieversorgung ei-nes Kernkraftwerksblockes mindestens zwei netzseitige Versorgungsmoumlglichkeiten vorhanden sein Die Schaltung und die raumlumliche Anordnung der Netzanschluumlsse sind so auszufuumlhren dass durch ein einzelnes versagensausloumlsendes Ereignis innerhalb der Energieversorgung im Kernkraftwerk oder im Bereich der Netzanschluumlsse nicht alle netzseitigen Versorgungsmoumlglichkeiten laumlngerfristig ausfallen koumlnnen Deshalb duumlrfen nach guumlltigem Betriebsreglement waumlhrend des Leistungsbetriebs am Fremdnetztransformator im Rahmen einer vorbeugenden Instandhaltung nur wiederkehrende Pruumlfungen durchgefuumlhrt werden weitere geplante Arbeiten und insbesondere Freischaltungen daran sind damit grundsaumltzlich nicht zulaumlssig Allerdings trennt das Betriebsreglement zwischen geplanter Freischaltung und Ausfall nach guumlltigem Be-triebsreglement betraumlgt waumlhrend des Leistungsbetriebs die zulaumlssige Instandsetzungszeit bei unvorhergese-henem Ausfall des Fremdnetztransformators le 5 Monate Dieser Zeitraum waumlre in Relation zu den insge-samt 7 Tagen im Leistungsbetrieb zu setzen in denen bei einer eventuell erforderlichen Anforderung die au-tomatische Umschaltung auf das Reservenetz durch eine manuelle Ersatzmaszlignahme ersetzt worden waumlre Waumlhrend der Revision ist in den Stillstandsphasen die Freischaltung des Fremdnetztransformators zulaumlssig da keinerlei Verfuumlgbarkeitsanforderungen an ihn gestellt werden

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 49: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

48

Zur grundsaumltzlichen Bewertung der sicherheitstechnischen Auswirkungen auf das Sicherheitsniveau der An-lage bzw den zeitabhaumlngigen Risikoverlauf sind deshalb zwei moumlgliche Vorgehensweisen untersucht wor-den bull Strategie A Kein Austausch des Kabelendstuumlckes mit einer daraus resultierenden nicht auszuschlie-

szligenden erforderlichen Reparatur des Kabelendstuumlckes waumlhrend des Leistungsbetriebes der Anlage mit einer zulaumlssigen Reparaturzeit von 5 Monaten

bull Strategie B Austausch des Kabelendstuumlckes waumlhrend der Revision wobei vorbereitende Arbeiten von 7 Tagen waumlhrend des Leistungsbetriebes der Anlage vor der Revision durchgefuumlhrt worden waumlren Waumlh-rend der vorbereitenden Arbeiten waumlre der Fremdnetztransformator oberspannungsseitig abgeschaltet (keine Freischaltung) die automatische Eigenbedarfsumschaltung waumlre nicht moumlglich allerdings koumlnnte das 110-kV-Fremdnetz uumlber den Fremdnetztransformator von Hand wieder zugeschaltet werden dies waumlre nach einer Raumlumung des Arbeitsplatzes (Entfernen aller Werkzeuge und Schlieszligen des Arbeitsbe-reiches (Schutzzauns)) innerhalb von insgesamt ca 45 min moumlglich gewesen (mit entsprechenden Fest-legungen in einer temporaumlren Schichtanweisung)

Zur Bewertung der beiden Strategien sind deren Auswirkungen auf das Sicherheitsniveau bzw den zeitab-haumlngigen Risikoverlauf der Anlage grundsaumltzlich untersucht worden Bei Ausfall der 380-kV-Versorgung bei Leistungsbetrieb der Anlage erfolgt ein Abfangen der Anlage auf Ei-genbedarf mit Versorgung uumlber den Blockgenerator Versagt das Abfangen auf Eigenbedarf erfolgt eine au-tomatische Umschaltung auf das 110-kV-Fremdnetz uumlber den Fremdnetztransformator Steht der Fremd-netztransformator nicht zur Verfuumlgung fuumlhrt das zum Notstromfall mit Start der Notstromdiesel Ein Fehler im Bereich der 27-kV-Ebene bzw an den beiden Eigenbedarfstransformatoren bei Leistungsbe-trieb der Anlage fuumlhrt bei Nichtverfuumlgbarkeit des Fremdnetztransformators hingegen sofort zum Start der Notstromdiesel Somit ergibt sich bei der Strategie A fuumlr die Anlage im Leistungsbetrieb im Falle einer Freischaltung des Fremdnetztransformators aufgrund einer erforderlichen Reparatur eine signifikante Erhoumlhung des zeitabhaumln-gigen Risikoverlaufs aufgrund der Erhoumlhung der Eintrittshaumlufigkeit des Notstromfalles Bei der Strategie B gibt es im Gegensatz zur Strategie A jedoch die Moumlglichkeit einer manuellen Ersatzmaszlig-nahme zur Zuschaltung des 110-kV-Fremdnetzes so dass de facto fuumlr diese 7 Tage keine Freischaltung keine Reparatur und keine vorbeugende Instandhaltung des Fremdnetztransformators waumlhrend des Leis-tungsbetriebes vorliegen wuumlrde Eine Normalisierung des Fremdnetztransformators und Ruumlcksynchronisie-rung von den Dieseln auf das Fremdnetz zur Begrenzung der durch die erhoumlhte Eintrittshaumlufigkeit des Not-stromfalls verursachten Risikoerhoumlhung ist eine nach guumlltigem Betriebsreglement zulaumlssige Maszlignahme Zu untersuchen waren somit die grundsaumltzliche Durchfuumlhrbarkeit die zeitlichen Ablaumlufe sowie die Einstiegs-kriterien fuumlr diese Ersatzmaszlignahme wobei die Behandlung aller im Leistungsbetrieb moumlglicherweise in dem Zeitraum der oberspannungsseitigen Abschaltung des Fremdnetztransformators auftretenden Ereignisse und Stoumlrfaumllle entsprechend dem Betriebsreglement insgesamt zu analysieren war

Ergebnisse

Die Ergebnisse der Analysen werden in den Abbildungen 3 und 4 dargestellt da diese Darstellung nur dem besseren Verstaumlndnis dient erfolgt sie rein qualitativ ohne Angabe der konkret ermittelten Werte Bei Strategie A d h keinem Austausch des Kabelendstuumlckes mit einer nicht auszuschlieszligenden erforderli-chen Reparatur im Leistungsbetrieb die nach guumlltigem Betriebsreglement zulaumlssig war ergibt sich eine sig-nifikante Erhoumlhung des zeitabhaumlngigen Risikoverlaufs uumlber einen laumlngeren Zeitraum (vgl Abbildung 3)

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 50: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

49

Abbildung 3 Vorgehen nach guumlltigem Betriebsreglement bei einer anlassbezogenen sicherheitstechnischen

Fragestellung (Ergebnis der anlassbezogen durchgefuumlhrten probabilistischen Bewertung quali-tative Darstellung)

Bei der vom Betreiber grundsaumltzlich in Erwaumlgung gezogenen Strategie B (oberspannungsseitige Abschal-tung des Fremdnetztransformators mit vorbereitenden Erdarbeiten und Durchfuumlhrung der eigentlichen In-standhaltungsmaszlignahme in der Revision) ergibt sich eine geringfuumlgige Erhoumlhung des zeitabhaumlngigen Risi-koverlaufs fuumlr eine kurze Zeit da die automatische Zuschaltung durch eine Handzuschaltung ersetzt werden sollte (vgl Abbildung 4)

Abbildung 4 Strategie mit Ersatzmaszlignahme zur Begrenzung der Risikoerhoumlhung (Ergebnis der anlassbezogen

durchgefuumlhrten probabilistischen Bewertung qualitative Darstellung)

Unter Beruumlcksichtigung einer festgelegten manuellen Ersatzmaszlignahme fuumlr die Zuschaltung des 110-kV-Fremdnetzes waumlhrend der Durchfuumlhrung der vorbereitenden Erdarbeiten am Zuleitungskabel des Fremd-netztransformators im Leistungsbetrieb mit einer Normalisierungszeit die in Relation zur moumlglichen Instand-setzungszeit bei einem unvorhergesehenen Ausfall des Fremdnetztransformators sehr kurz ist sowie unter Beruumlcksichtigung der Durchfuumlhrung der eigentlichen Reparatur in einer Stillstandsphase in der keine Verfuumlg-barkeitsanforderungen an den Fremdnetztransformator gestellt werden konnte gezeigt werden dass mit der in Betracht gezogenen Strategie eine Optimierung des zeitabhaumlngigen Risikoverlaufs der Anlage erreicht wurde Aufgrund dieser Betrachtung konnte die Aufsichtsbehoumlrde der Umsetzung dieser Strategie zustim-men

Mitt

lere

Haumlu

figke

itsdi

chte

Zeit

Revision (NLB)

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 51: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

50

Kurzdarstellung

Typ anlassbezogene Bewertung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 3 4 7 und 11 mit bdquojaldquo beantwortet Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden u a die Fragen 32 43 und 72 als relevant identifiziert

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

Zuschaltung des Fremd-netztransformators von Hand

ja

43 Wird durch die Fragestellung die Funktion von Systemen betroffen und wenn ja wird dieser Einfluss durch konservative Modellierungen abgedeckt

Janein oberspannungsseitige Ab-schaltung des Fremd-netztransformators

ja

72 Ist die Fragestellung mit neuen Personalhandlungen verbunden

Zuschaltung des Fremd-netztransformators von Hand

ja

Kategorie γ Fazit Zur Bewertung der Fragestellung war fuumlr zwei Szenarien der zeitabhaumlngige Risikoverlauf zu ermitteln Dies erforderte entsprechende Modellierung und Quantifizierung in dem PSA-Modell (Anmerkung Das be-stehende PSA-Modell wurde dabei nicht permanent geaumlndert da die Anlage nach Reparatur des Kabels wieder im bisherigen Zustand war) Eine Grobabschaumltzung ohne Modellierung und Quantifizierung haumltte fuumlr eine Risikoabschaumltzung nicht genuumlgt da die geplante Maszlignahme nach guumlltigem Betriebsreglement nicht zu-laumlssig war es musste also explizit nachgewiesen werden dass ein Abweichen vom Betriebsreglement in diesem konkreten Fall eine guumlnstigere Risikobewertung hatte als das Befolgen des Betriebsreglements

A 55 MOumlGLICHE UumlBERFLUTUNGSEREIGNISSE IM SCHALTANLAGENGEBAumlUDE DURCH BRUCH EINER LOumlSCHWASSERLEITUNG (ZUNAumlCHST ANLASSBEZOGENE BEWERTUNG DANN GEPLANTE AumlNDERUNG)

Einleitung

Bei dem hier dargestellten Vorgang wurde aus einem konkreten Anlass (Verdacht auf Vorliegen eines bisher nicht betrachteten potenziellen Uumlberflutungsereignisses) begonnen Als sich die Notwendigkeit von Anla-genaumlnderungen abzeichnete wurden diese als geplante Aumlnderungen eingereicht und auch als solche be-wertet Im Folgenden wird nur ein Teilaspekt dieses Aumlnderungspakets betrachtet

Fragestellung

Die Feuerloumlschwasserversorgung des Schaltanlagengebaumludes einer Anlage erfolgt unter anderem uumlber eine Stichleitung die im Keller des Schaltanlagengebaumludes ankommt und von dort uumlber eine durchs Treppen-haus fuumlhrende Steigleitung die in den einzelnen Etagen vorhandenen Brandbekaumlmpfungssysteme versorgt Im bisherigen Zustand stand diese Loumlschwasserleitung permanent unter Druck ein zum Absperren geeigne-tes Ventil befand sich im Keller (in Offenstellung) Bei einem Leck in der Leitung war dieses Ventil manuell zu schlieszligenUntersuchungen im Rahmen der SUuml zeigten dass nicht ausgeschlossen werden konnte dass ein Leck in der Loumlschwasserleitung erst dann bemerkt und im Schaltanlagengebaumlude lokalisiert wird wenn der Keller

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 52: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

51

bereits unter Wasser steht so dass ein Schlieszligen des Ventils nicht mehr moumlglich ist Eine weitere Absperr-moumlglichkeit auszligerhalb des Gebaumludes war nur unter hohem Zeitaufwand umsetzbar da dazu das Feuer-loumlschwassernetz aufzutrennen war um das Schaltanlagengebaumlude isoliert vom restlichen Netz absperren zu koumlnnen Es bestand somit die Gefahr einer Uumlberflutung des Treppenhauses mit bei steigendem Wasserpegel folgender Uumlberflutung der Schaltschraumlnke in den oberen Stockwerken durch Wasserausbreitung uumlber Tuumlr-spalte

Vorgehensweise

Zunaumlchst wurde bewertet mit welcher Haumlufigkeit das geschilderte Szenario zu einem Gefaumlhrdungszustand fuumlhren kann Die Leckhaumlufigkeit der Loumlschwasserleitung wurde unter bestimmten Annahmen uumlber die Qualitaumlt des Materi-als laumlngenabhaumlngig ermittelt Konservativ wurde angenommen dass die Leckgroumlszlige immer einem vollstaumlndi-gen Bruch der Leitung entspricht Bei einem Druckabfall im Feuerloumlschsystem werden die Feuerloumlschwasserpumpen angefordert und begin-nen mit der Einspeisung Da angenommen wurde dass das Leck zunaumlchst nicht als solches erkannt wird so dass die Pumpen waumlhrend des gesamten Uumlberflutungsereignisses laufen wurde die Ausstroumlmrate aus dem Leck anhand der Foumlrderleistung der Feuerloumlschwasserpumpen ermittelt Der zeitliche Verlauf des Wasserpegels in den Raumlumen des Schaltanlagengebaumludes wurde in einer numeri-schen Simulation bestimmt wobei verschiedene Szenarien zugrunde gelegt wurden (z B das Aufdruumlcken einer Kellertuumlr durch das Wasser oder das Geschlossenbleiben der Tuumlr waumlhrend des gesamten Uumlberflu-tungsereignisses) Die Tuumlrspalte im Gebaumlude wurden ausgemessen um die Wasserausbreitung realistisch zu simulieren Ziel der Simulation war es den Zeitpunkt zu bestimmen bis zu dem die Nachspeisung in das Leck spaumltes-tens unterbunden werden muss um eine Uumlberflutung der Schaltschraumlnke zu verhindern Dabei war insbe-sondere zu beachten dass aufgrund der sich ergebenden unterschiedlichen Wasserstaumlnde in der verschie-denen Raumlumen und Stockwerken eine Uumlberflutung der Schaltschaumlnke auch dann eintreten kann wenn die Nachspeisung abgestellt wird solange die Schaltschaumlnke noch trocken stehen Auch nach Absperrung des Lecks dringt Wasser aus dem houmlher uumlberfluteten Treppenhaus in die Schaltanlage ein Die Folgen der Uumlberflutung aller Schaltschraumlnke in einer Schaltanlage wurden als nicht bewertbar angese-hen daher wurde angesetzt dass ein Gefaumlhrdungszustand eintritt sobald der Wasserpegel in der Schaltan-lage so hoch ist dass er den Boden der (erhoumlht stehenden) Schaltschraumlnke erreicht Ein wesentlicher Anteil der Betrachtung betraf die probabilistische Bewertung der Personalhandlungen Di-agnose des Lecks Lokalisierung des Lecks und Absperrung des Lecks Bei der Diagnose des Lecks ergab sich die zusaumltzliche Schwierigkeit dass an dem betroffenen Standort das Feuerloumlschwassernetz zwei Blouml-cke versorgt d h bei der Ursachenforschung nach einem Druckabfall im Netz und der Lokalisierung eines Lecks ist der andere Standort mit einzubeziehen Als Grundlage fuumlr die Bewertung wurden die entsprechen-den schriftlichen betrieblichen Regelungen (sbR) herangezogen Die Uumlberflutung des im Keller gelegenen Absperrventils erfolgte so fruumlh dass diese Moumlglichkeit der Absperrung von vorneherein nicht kreditiert wurde Die Bewertung ergab dass das geschilderte Szenario einen nicht vernachlaumlssigbaren Beitrag zur Haumlufigkeit von Gefaumlhrdungszustaumlnden liefert im Wesentlichen weil die ermittelten Karenzzeiten zur rechtzeitigen Ab-sperrung des Lecks so kurz waren dass die Wahrscheinlichkeit fuumlr eine erfolgreiche Leckdiagnose -ortung und -absperrung von vorneherein als vernachlaumlssigbar gering eingeschaumltzt wurde Somit entsprach die Haumlu-figkeit der Gefaumlhrdungszustaumlnde durch ein Leck in der Loumlschwasserleitung im Schaltanlagengebaumlude der Eintrittshaumlufigkeit eines solchen Lecks (keine Gegenmaszlignahme moumlglich)Um das von dem Szenario ausgehende Risiko zu reduzieren wurde vorgeschlagen das offene handbetrie-bene Ventil im Keller des Schaltanlagengebaumludes durch ein geschlossenes motorbetriebenes Ventil zu er-setzen das im Fall eines Brandes im Schaltanlagengebaumlude automatisch auffaumlhrt um die Loumlschwasserver-sorgung zu gewaumlhrleisten Zur Vermeidung von Druckstoumlszligen in der Loumlschwasserleitung beim Auffahren des Ventils die die Integritaumlt der Loumlschwasserleitung gefaumlhrden koumlnnten sollte die Leitung vor dem Ventil durch eine Bypassleitung mit kleinem Durchmesser und Drosselblende mit der Leitung hinter dem Ventil verbun-den werden um die Druckhaltung zu gewaumlhrleisten

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 53: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

52

Ergebnisse

Das Szenario wurde unter Beruumlcksichtigung der geplanten Aumlnderungen im Hinblick auf die sich aus ihm er-gebende Haumlufigkeit von Gefaumlhrdungszustaumlnden neu bewertet Dabei waren mehrere Aspekte zu beruumlcksich-tigen Fuumlr die Leitungslaumlnge nach Gebaumludeeintritt und vor dem geschlossenen Ventil entspricht die Haumlufigkeit der Gefaumlhrdungszustaumlnde durch ein Leck immer noch der Eintrittshaumlufigkeit dieses Lecks (sog bdquokritisches Leckldquo) da diese Laumlnge nach wie vor nur durch die lange dauernde Absperrmoumlglichkeit auszligerhalb des Ge-baumludes isoliert werden kann Allerdings ist die Eintrittshaumlufigkeit fuumlr ein kritisches Leck deutlich geringer als vorher da nur noch ein kurzes Stuumlck der Leitung betroffen ist Fuumlr die Leitungslaumlnge nach dem geschlossenen Ventil ist die Eintrittshaumlufigkeit von Lecks nur unwesentlich geringer als vorher Da der Druck gleich bleibt aumlndert sich an der Haumlufigkeit pro Laumlnge nichts es wird nur das kurze Stuumlck Leitung zwischen Gebaumludeeintritt und Ventil nicht mehr mitgerechnet Allerdings ist die Aus-stroumlmrate deutlich verringert da die Ausstroumlmung nur uumlber die Bypassleitung mit Drosselblende erfolgt Dadurch ergeben sich wesentlich laumlngere Zeitverlaumlufe fuumlr die Uumlberflutung so dass der Erfolg von Gegen-maszlignahmen d h eine Absperrung auszligerhalb des Gebaumludes als wahrscheinlich bewertet werden konnte Dies geschah durch explizite Modellierung im Rahmen der Neuerstellung eines Ereignisablaufdiagramms fuumlr das Uumlberflutungsereignis Aus Sicht des Brandschutzes ergibt sich eine Verschlechterung der Situation da bei einem Brand nun ein Motorventil auffahren muss um die Loumlschwasserversorgung im Schaltanlagengebaumlude sicherzustellen Dies kann auch versagen waumlhrend vorher die Loumlschwasserversorgung durch das permanent offene Handventil sichergestellt war Abzuwaumlgen war also in welchem Verhaumlltnis der Gewinn an Sicherheit in Bezug auf Uumlber-flutung zum Verlust an Sicherheit im Brandschutz steht Insgesamt uumlberwog der Gewinn deutlich Die vorgeschlagene Aumlnderung konnte so wie geplant umgesetzt werden da in der Gesamtschau das Anla-genrisiko durch sie merklich gesenkt wurde

Kurzdarstellung

Aufgrund der Besonderheit des Vorgangs (ausgeloumlst durch einen konkreten Anlass Feststellung dass Anla-genaumlnderungen notwendig sind Einreichung dieser Maszlignahmen als geplante Aumlnderungen) erfolgt in der Kurzdarstellung eine gemischte Einstufung da fuumlr den urspruumlnglichen Anlass eine sofortige Bewertung und fuumlr die einzelnen Aumlnderungsmaszlignahmen zum Teil eine zusammenfassende Bewertung nach Abschluss und zum Teil eine sofortige Bewertung erforderlich war Typ zunaumlchst anlassbezogene Bewertung dann geplante Aumlnderung Screening-Prozess (Anhang 1) Im ersten Schritt wurden die Fragen 1 3 4 5 7 8 11 und 12 mit bdquojaldquo beant-wortet (anlassbezogen und geplant) Feststellung der moumlglichen Auswirkungen (Anhang 2) Im zweiten Schritt wurden zahlreiche Fragen als rele-vant identifiziert unter anderem

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

11 Werden durch die Fragestellung neue ausloumlsende Ereignisse ein-gefuumlhrt

das Szenario bdquoUumlberflutung des Schaltanlagengebaumludes durch Bruch einer Loumlsch-wasserleitungldquo war bisher nicht betrachtet worden

nein nein (vor der anlassbezo-genen Bewer-tung)

13 Wird durch die Fragestellung eine Neubewertung der Haumlufigkeiten der Gruppen ausloumlsender Ereig-nisse notwendig

Die vorgeschlagene Aumlnde-rung senkt die Eintrittshaumlu-figkeit fuumlr kritische Lecks

nein ja (nach der anlassbezo-genen Bewer-tung)

32 Wird durch die Fragestellung die Einfuumlhrung neuer Verzweigungen oder Systemfunktionen notwendig um Aspekte einzubeziehen die

Personalhandlungen Leckdi-agnose -ortung und -absperrung

nein ja (nach der anlassbezo-genen Bewer-tung)

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 54: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

53

Nr Frage Identifikation der Berei-che die durch die sicher-heitstechnischen Frage-stellungen betroffen sind

Beruumlcksichtigung d be-troffenen Bereiche i d PSA

explizit und quantitativ

nur qualitativ

bisher nicht in den Ereignisablauf-diagrammen beruumlcksichtigt waren

51 Kann die Fragestellung eindeutig mit der Definition von einem oder mehreren Basisereignissen in Ver-bindung gebracht werden oder wird die Definition neuer Basiser-eignisse notwendig

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

73 Werden durch die Fragestellung verfuumlgbare Zeitfenster fuumlr Perso-nalhandlungen veraumlndert

Verlaumlngerung der Karenzzeit fuumlr Leckdiagnose -ortung und -absperrung durch Aumln-derung

nein ja (nach der anlassbezo-genen Bewer-tung)

81 Wird durch die Fragestellung die qualitative Screening-Analyse be-einflusst

neues Ereignis identifiziert nein nein

86 Werden durch die Fragestellung Zeitbetrachtungen in den Uumlberflu-tungsanalysen beeinflusst

Verlaumlngerte Karenzzeiten durch Aumlnderung

nein ja (nach der anlassbezo-genen Bewer-tung)

94 Werden durch die Fragestellung der Zustand oder die Verfuumlgbarkeit von Einrichtungen zu Brandmel-dung Brandschutz und Brandbe-kaumlmpfung beeinflusst

Loumlschwasserversorgung im Schaltanlagengebaumlude (ge-schlossenes Motorventil statt offenem Handventil)

ja

Kategorie anlassbezogen γ geplante Aumlnderung bc Fazit Nachdem die theoretische Moumlglichkeit des Szenarios festgestellt wurde ergab sich die Notwendigkeit seinen Beitrag zu quantifizieren um beurteilen zu koumlnnen ob Abhilfe notwendig ist Dies geschah zum Teil unter vereinfachten Annahmen (Personalhandlungen zur Leckdiagnose -ortung und -absperrung nicht expli-zit modelliert sondern wegen der kurzen Karenzzeit pauschal als nicht erfolgreich bewertet Gleichsetzung Leckeintrittshaumlufigkeit mit Haumlufigkeit von Gefaumlhrdungszustaumlnden durch dieses Szenario) Die vereinfachten Annahmen wurden damit gerechtfertigt dass es sich um einen Schritt im Screening-Prozess handelt bei dem es zunaumlchst darum geht festzustellen ob von dem Szenario uumlberhaupt eine Gefaumlhrdung ausgeht Nachdem letzteres bejaht wurde wurde die vorgeschlagene Abhilfemaszlignahme ebenfalls analysiert Dabei wurden einige der vereinfachten Annahmen durch explizite Modellierung ersetzt (Erstellung eines Ereig-nisablaufdiagramms in dem die Personalhandlungen zur Leckdiagnose -ortung und -absperrung abgebildet sind) Die Bewertung des Einflusses der Aumlnderung auf das Risiko durch Brand erfolgte indem in der vorhan-denen Brand-PSA die Wahrscheinlichkeit fuumlr den Ausfall der Loumlschwasserversorgung im Schaltanalagenge-baumlude entsprechend angepasst wurde Zur Gesamtbewertung der Aumlnderung vor ihrer Umsetzung wurde an einigen Stellen auf einen reinen Vorher-Nachher-Vergleich zuruumlckgegriffen Die vollstaumlndige Abbildung der Aumlnderung im PSA-Modell erfolgte nach-traumlglich im Rahmen der naumlchsten SUuml

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 55: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

54

LITERATURVERZEICHNIS KRA 06 Kranz S Weber M Nutzung probabilistischer Untersuchungen in behoumlrdlichen Verfahren

Vorgehensweise Erfahrungen und Erkenntnisse PSA Symposium Probabilistische Sicherheitsanalysen in der Kerntechnik 23 ndash 24 November 2006 Muumlnchen

SCH 08 Schwarz W Leray J Rattke J Sander U PSA fuumlr Nichtleistungsbetrieb von GKN I Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

SPI 04a Spitzer C Wildermann T Extended Application of PSAs in Regulatory Procedures Practice and Concept of an Integrated Safety Assessment in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1401 -1407 Springer-Verlag London 2004

SPI 04b Spitzer C Human Factors Analysis Central Needs for Practical Applications in C Spitzer U Schmocker V N Dang (Eds) Proceedings of the International Conference on Probabilistic Safety Assessment and Management PSAM 7 ndash ESREL acute04 June 14-18 2004 Berlin Germany S 1727-1733 Springer-Verlag London 2004

SPI 06 Spitzer C Utilisation of Probabilistic Investigations to Support Safety Assessment and Risk Management 4th International Probabilistic Symposium Berlin 12th -13th October 2006

SPI 09a Spitzer C Integral analysis of low power and shutdown operation insights and outcome Kerntechnik 74 (2009) No 3 S 114-124 Carl Hanser Verlag Muumlnchen 2009

SPI 09b Spitzer C Sicherheitsrelevante Erkenntnisse aus der Begutachtung einer PSA 2 VdTUumlV Forum Kerntechnik Berlin 16 ndash 17 Maumlrz 2009

SPI 09c Spitzer C Wildermann T Probabilistik im neuen KTR Zielsetzung und Anwendung vor dem Hintergrund nationaler und internationaler Erfahrungen und Vorgehensweisen TUumlV SUumlD Symposium acute09 Probabilistische Sicherheitsanalysen in der Kerntechnik Muumlnchen 25 ndash 26 November 2009

SPI 10 Spitzer C Utilisation of HRA key insights for LPS operating procedures example for an implementation put in practicein Proceedings of 10th International Probabilistic Safety Assessment and Management Conference (PSAM10) Seattle WA JunI 2010

SPI 11 Spitzer C Nutzung probabilistischer Untersuchungen im Aufsichts- und Genehmigungs-verfahren in Baden-Wuumlrttemberg DSK 34 Sitzung AG 1 Neuchacirctel 31 Mai bis 1 Juni 2011

SPI 12 Spitzer C Pohl H Probabilistic Investigations to Support Risk-Informed Decision-making Experiences and Perspective in 11th International Probabilistic Safety Assessment and Management Conference and the Annual European Safety and Reliability Conference 2012 (PSAM11 ESREL 2012) Helsinki Finland 25 ndash 29 June 2012 ISBN 978-1-62276-436-5 Curran Associates Inc Red Hook NY 2012

SPI 98 Spitzer C Heermann M Concept of an Extended Application of PSAs in Regulatory Procedures in A Mosleh R A Bari (Eds) Proceedings of the 4th International Conference on Probabilistic Safety Assessment and Management (PSAM 4) New York City USA 13-18 September 1998 S 307 312Springer-Verlag London 1998

VOG 08 Vogel A Entwicklung zustandsorientierter Prozeduren bei KKP 1 unter Beruumlcksichtigung der Erkenntnisse der NLB-PSA Probabilistische Sicherheitsanalysen in der Kerntechnik Erfahrungen Erkenntnisse Entwicklungen Symposium acute08 Mannheim 17 - 18 April 2008

WIL 08 Wildermann T Umsetzung probabilistischer Analysen im atomrechtlichen Aufsichtsverfahren (in Baden-Wuumlrttemberg) 1 VdTUumlV Forum Kerntechnik Berlin 25 - 26 Februar 2008

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 56: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

55

BEGRIFFE Probabilistische Sicherheitsanalysen

Die im Rahmen der Sicherheitsuumlberpruumlfung nach sect 19a AtG auf der Grundlage des bdquoLeitfadens Probabilisti-sche Sicherheitsanalyseldquo BA 05 durchgefuumlhrten probabilistischen Sicherheitsanalysen fuumlr Kernkraftwerke

Probabilistische UntersuchungenBewertungen

Jede Art von Bewertung einer sicherheitstechnischen Fragestellung auf probabilistischer Basis Hierunter faumlllt das gesamte Spektrum von qualitativen Uumlberlegungen und einfachen Handrechnungen bis hin zur Her-anziehung eines vollstaumlndigen PSA-Anlagenmodells

Aumlnderungsmaszlignahmen

Aumlnderungen an Maszlignahmen Einrichtungen oder der Betriebsweise der Anlage

Aumlnderungsmaszlignahmen der Kategorie a

Aumlnderungsmaszlignahmen die weder einen direkten noch einen indirekten Einfluss auf die PSA haben

Aumlnderungsmaszlignahmen der Kategorie b

Aumlnderungsmaszlignahmen die einen (direkten oder indirekten) Einfluss auf die PSA haben aber keinen nen-nenswerten Einfluss auf die Ergebnisse der PSA

Aumlnderungsmaszlignahmen der Kategorie c

Aumlnderungsmaszlignahmen die einen nennenswerten (direkten oder indirekten) Einfluss auf die Ergebnisse der PSA haben

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE
Page 57: Methoden und Beispiele für die probabilistische Bewertung ...nbn:de:0221-2018013014519/3... · ZUSAMMENFASSUNG Für die deutschen Kernkraftwerke sind in der Vergangenheit umfassende

-

-

Kontakt Bundesamt fuumlr kerntechnische Entsorgungssicherheit (BfE) Dienstsitz Salzgitter Willy-Brandt Straszlige 5 D - 38226 Salzgitter Telefon +49 (0)3018 333-0 Telefax +49 (0)3018 333 1885 Internet wwwbfebundde E-Mail infobfebundde Poststellebfede-mailde Gedruckt auf Recyclingpapier aus 100 Altpapier

  • Zusammenfassung
  • Abstract
  • InhaltsVerzeichnis
    • Abbildungsverzeichnis
    • Tabellenverzeichnis
    • ABKUumlRZUNGsverzeichnis
      • Vorwort
      • 1 Zielsetzungen probabilistischer Bewertungen ausserhalb der SUuml
      • 2 Anwendungsgebiete
        • 21 Allgemeines
        • 22 Vorgehensweise
          • 3 Beispiel fuumlr einen Screening-Prozess
            • 31 AumlnderungsmaszligNahmen
            • 32 Ereignis- bzw anlassbezogene Fragestellungen
              • 4 Durchfuumlhrung der probabilistischen Untersuchungen
              • 5 Vorgehen bei der Bewertung
                • 51 Aumlnderungsmassnahmen
                • 52 Ereignis- bzw anlassbezogene Fragestellungen
                  • LITERATURVERZEICHNIS
                  • Anhaumlnge
                  • Anhang 1 Fragenliste zur Unterstuumltzung und Dokumentation des Screening-Prozesses fuumlr eine sicherheitstechnische Fragestellung
                  • Anhang 2 Fragenliste zur feststellung der moumlglichen Auswirkungen einer sicherheitstechnischen Fragestellung auf die PSA-Modellierung
                  • Anhang 3 Modifikationen in der PSA-Modellierung der zugrundeliegenden PSA (Ausgangsbasis z B Risk Spectrum Projektdatenbasis Stand xy)
                  • Anhang 4 Bewertung moumlglicher Auswirkungen einer sicherheitstechnischen Fragestellung auf derzeit nicht explizit modellierte bereiche
                  • Anhang 5 Konkrete Beispiele
                    • A 51 Erweiterung der FD-Abblaseregelung im Reaktorschutzzsystem (Geplante Aumlnderung)
                    • A 52 Bewertung der Auswirkungen einer vorzeitigen Freischaltung einer Redundanz eines Sicherheitssystems waumlhrend des Leistungsbetriebs (anlassbezogene Bewertung)
                    • A 53 Leckage an einer Zwischenkuumlhlpumpe im Nachkuumlhlsystem (Anlassbezogene Bewertung)
                    • A 54 Leckage am 110-kV-Oumllkabel zwischen Fremdnetztransformator und der Schaltanlage eines KKW (Anlassbezogene Bewertung)
                    • A 55 Moumlgliche Uumlberflutungsereignisse im Schaltanlagengebaumlude durch Bruch einer loumlschwasserleitung (zunaumlchst Anlassbezogene Bewertung dann gEplante Aumlnderung)
                      • LITERATURVERZEICHNIS
                        • BEGRIFFE