Probabilistische Sicherheitsanalyse (PSA): Qualität und Umfang

1 Einleitung

Das Eidgenössische Nuklearsicherheitsinspektorat (ENSI) ist die Aufsichtsbehörde für die nukleare Sicherheit und Sicherung der Kernanlagen in der Schweiz. In seiner Eigenschaft als Aufsichtsbehörde oder gestützt auf einen Auftrag in einer Verordnung erlässt es Richtlinien. Richtlinien sind Vollzugshilfen, die rechtliche Anforderungen konkretisieren und eine einheitliche Vollzugspraxis erleichtern. Sie konkretisieren zudem den aktuellen Stand von Wissenschaft und Technik. Das ENSI kann im Einzelfall Abweichungen zulassen, wenn die vorgeschlagene Lösung in Bezug auf die nukleare Sicherheit und Sicherung mindestens gleichwertig ist.

2 Gegenstand und Geltungsbereich

Die Richtlinie ENSI-A05 regelt die Qualität und den Umfang der werkspezifischen Probabilistischen Sicherheitsanalyse (PSA) der Stufen 1 und 2 für interne und externe auslösende Ereignisse und alle massgeblichen Betriebszustände von Kernkraftwerken. Darüber hinaus beinhaltet die Richtlinie PSA-Anforderungen für weitere Kernanlagen. Die Anforderungen an Qualität und Umfang der PSA in dieser Richtlinie stellen sicher, dass insbesondere folgende PSA-Anwendungen möglich sind: a. Bewertung des Sicherheitsniveaus b. Beurteilung der Ausgewogenheit der Risikobeiträge c. Beurteilung des Einflusses von Anlageänderungen d. Bewertung von Vorkommnissen e. Bewertung der sicherheitstechnischen Bedeutung (Importanz) von Komponenten f. Risikotechnische Beurteilung der Betriebserfahrung In Übereinstimmung mit dem internationalen Stand der PSA-Technik werden die Risiken durch Krieg, Terror und Sabotage in der Richtlinie nicht behandelt.

3 Rechtliche Grundlagen

Diese Richtlinie führt die folgenden rechtlichen Grundlagen aus: a. Art. 4 Abs. 3 Bst. a des Kernenergiegesetzes (KEG; SR 732.1) b. Art. 22 Abs. 1 und 2 der Kernenergieverordnung (KEV; SR 732.11) c. Art. 28 Abs. 1 KEV

Januar 2018 (Änderung 1. Oktober 2024) 1

d. Art. 34 Abs. 2 KEV e. Art. 41 Abs. 1 KEV f. Anhang 3 KEV zur Festlegung des Umfangs einer PSA g. Art. 1, 5 und 12 der Verordnung des UVEK über die Gefährdungsannahmen und die Bewertung des Schutzes gegen Störfälle in Kernanlagen vom 17. Juni 2009 (SR 732.112.2)

4 Technische Anforderungen an eine Stufe-1-PSA für

Kernkraftwerke

4.1 Umfang der Stufe-1-PSA

a. Alle radioaktiven Quellen im Kernkraftwerk, welche potenziell zu Freisetzungen führen können, sind zu identifizieren. Wird eine der identifizierten Quellen von weiteren probabilistischen Untersuchungen ausgeschlossen, ist dies zu begründen. b. Für das Brennelementlagerbecken bei Leistungsbetrieb des Kernkraftwerks ist eine Stufe-1-PSA zu erstellen. Auf diese kann verzichtet werden, wenn die erwartete jährliche Gesamtfreisetzung radioaktiver Stoffe bei einem Brennstoffschaden im Brennelementbecken geringer ist als 1 % der Risikokenngrösse TRAR. c. Das Risiko ist für alle Betriebszustände des Kernkraftwerks zu untersuchen. Für den Nichtleistungsbetrieb ist zwischen geplanten und ungeplanten Stillständen zu unterscheiden. d. Es sind interne, interne systemübergreifende und externe Ereignisse in einem umfassenden PSA-Modell abzubilden. Eine Unterteilung des Modells für verschiedene Betriebszustände ist zulässig. e. Zur Festlegung der Betriebszustände bei Nichtleistungsbetrieb ist die bisherige Betriebserfahrung auszuwerten. f. Die Übergänge zwischen den in der PSA berücksichtigten Betriebszuständen sind eindeutig zu definieren und zu begründen.

2 Januar 2018 (Änderung 1. Oktober 2024)

4.2 Zuverlässigkeit von Komponenten

4.2.1 Erfassung anlagenspezifischer Rohdaten

a. Der Umfang der Komponenten, für die Rohdaten zu erfassen sind, die jeweiligen Komponentengrenzen, die Fehlermodi und die geeigneten Zuverlässigkeitskenngrössen (z. B. Ausfallrate pro Zeiteinheit oder Anforderung) sind konsistent mit den Anforderungen der Systemanalyse (vgl. Kap. 4.4.3) festzulegen und zu dokumentieren. b. Komponenten gleichen Typs, welche ähnliche Auslegungsmerkmale aufweisen und unter ähnlichen Bedingungen betrieben werden, können zu Komponentengruppen zusammengefasst werden. Bei dieser Gruppierung ist darauf zu achten, dass die jeweiligen Komponenten ein möglichst homogenes Ausfallverhalten aufweisen. c. Die Auswertung der Betriebsdokumentation zur Ermittlung der anlagenspezifischen Rohdaten ist durch die Systembetreuer der Anlage oder durch andere Fachleute mit den notwendigen Systemkenntnissen zu unterstützen. d. Es ist zu überprüfen, ob die im Rahmen der Datenerfassung ausgewerteten Komponententests repräsentativ für den Anforderungsfall sind. e. Bei geringer (komponentenspezifischer) Betriebserfahrung sind Rohdaten von ähnlichen, nicht modellierten Komponenten zu berücksichtigen. f. Falls eine oder mehrere Komponenten ersetzt oder massgeblich modifiziert worden sind, ist zu diskutieren, ob die Betriebserfahrung der betroffenen Komponenten weiterhin relevant ist. g. Für die aus der Betriebsdokumentation erfassten Komponentenausfälle sind anzugeben:

1 Komponentenkennzeichnung

2 Komponentengruppe

3 Fehlermodus

4 Ausfallursache

5 Ausfalldatum

6 Betriebszustand der Anlage

7 Referenz zur Betriebsdokumentation

h. Für die aus der Betriebsdokumentation erfassten Komponentenunverfügbarkeiten aus Instandsetzung, Wartung und Tests sind anzugeben:

1 Komponentenkennzeichnung

Januar 2018 (Änderung 1. Oktober 2024) 3

2 Komponentengruppe

3 Datum des Beginns der Unverfügbarkeit

4 Dauer der Unverfügbarkeit

5 Betriebszustand der Anlage

6 Referenz zur Betriebsdokumentation

i. Die Anzahl Anforderungen und Betriebsstunden sind aus der Betriebsdokumentation abzuleiten und darzustellen. j. Die gesammelten Rohdaten sind in elektronischer Form abzulegen.

4.2.2 Generische Zuverlässigkeitsdaten

a. Zur Verbesserung der statistischen Sicherheit sind generische Zuverlässigkeitsdaten (inkl. Unsicherheiten) aus international anerkannten Quellen heranzuziehen. b. Die generischen Zuverlässigkeitsdaten sind auf ihre Übertragbarkeit zu überprüfen. Dabei sind die Auslegungsmerkmale der Komponenten, deren Betriebsbedingungen, Gruppierung und Abgrenzung sowie die Fehlermodi zu beachten.

4.2.3 Entwicklung anlagenspezifischer Zuverlässigkeitskenngrössen

a. Die anlagenspezifischen Zuverlässigkeitskenngrössen sind für jede Komponentengruppe aus den gesammelten anlagenspezifischen Rohdaten und den generischen Zuverlässigkeitsdaten mittels eines Bayes’schen Verfahrens zu bestimmen. b. Für industrielle Massenerzeugnisse (z. B. elektronische Schaltkreise), für die typischerweise keine anlagenspezifische Ausfallstatistik geführt wird, können generische Daten direkt verwendet werden. c. Zuverlässigkeitskenngrössen aus der Leistungs-PSA können auch für Komponenten in der Nichtleistungs-PSA verwendet werden, sofern diese die Anforderungen an die Gruppierung von Komponenten gemäss Kap. 4.2.1 Bst. b erfüllen. Andernfalls sind spezifische Zuverlässigkeitskenngrössen zu ermitteln. d. Für jede ermittelte Zuverlässigkeitskenngrösse sind der Mittelwert und die Unsicherheitsverteilung (5 %-, 50 %-, 95 %-Fraktile) anzugeben. Dabei ist die sich aus dem Bayes’schen Verfahren ergebende Unsicherheitsverteilung direkt zu übernehmen oder durch eine geeignete Verteilung (z. B. Lognormal-, Beta- oder Gammaverteilung) zu repräsentieren.

4 Januar 2018 (Änderung 1. Oktober 2024)

4.2.4 Entwicklung anlagenspezifischer CCF-Parameter

a. Der Mindestumfang an Komponententypen, für welche CCF-Parameter zu bestimmen sind, wird in Kap. 4.4.3 Bst. i festgelegt. b. Komponenten, welche ausgeprägte Kopplungsfaktoren in Bezug auf gemeinsame Fehlerursachen (insbesondere Auslegungsmerkmale, Wartungs- und Betriebsbedingungen) aufweisen, sind zu einer CCF-Gruppe zusammenzufassen. c. CCF-Parameter sind mit der Alpha-Factor- oder Multiple-Greek-Letter-Methode unter Verwendung anlagenspezifischer und generischer CCF-Daten zu bestimmen. Die Übertragbarkeit der generischen CCF-Daten ist zu überprüfen und die Unsicherheiten bei den CCF-Parametern sind zu bestimmen.

4.3 Zuverlässigkeit von Personalhandlungen

4.3.1 Identifizierung und Auswahl der zu analysierenden Personalhandlungen

a. Es sind Kategorie-A-Handlungen zu identifizieren, welche die Verfügbarkeit der in der PSA modellierten Systeme reduzieren können. Von besonderer Bedeutung sind dabei Fehlstellungen von Komponenten nach Tests oder Wartungsarbeiten und Kalibrierungsfehler in der Messwerterfassung. b. Wird ein Fehlerbaum zur Bestimmung der Häufigkeit eines auslösenden Ereignisses verwendet, sind mögliche Fehler bei Kategorie-B-Handlungen bei Tests, Wartung und Instandsetzung oder bei der Beherrschung von Störungen, in deren Verlauf ein auslösendes Ereignis auftreten kann, zu identifizieren und zu modellieren. c. Kategorie-C-Handlungen sind im Rahmen der Unfallablaufanalyse (vgl. Kap. 4.4.2) zu identifizieren. d. Im Rahmen der PSA für den Leistungsbetrieb ist eine Untersuchung von Errors of Commission (EOC) durchzuführen. Für die identifizierten EOC sind die Auswirkungen und mögliche Gegenmassnahmen qualitativ zu diskutieren. e. Recovery Actions können im Falle unabhängiger Komponentenausfälle berücksichtigt werden, wenn sie plausibel und im betrachteten Unfallszenario durchführbar sind und wenn es sich nicht um Instandsetzungen (z. B. Wiederzusammenbau zerlegter Komponenten) handelt. In diesem Zusammenhang sind insbesondere die Identifizierbarkeit der betroffenen Komponente, die Zugänglichkeit, die Verfügbarkeit von Ressourcen (z. B. qualifiziertes

Januar 2018 (Änderung 1. Oktober 2024) 5

Personal) sowie die Unterstützung durch Vorschriften zu berücksichtigen. Diese Massnahmen sind wie Kategorie-C-Handlungen zu analysieren. f. Kategorie-A- und -B-Handlungen können aufgrund qualitativer Kriterien vernachlässigt werden. Kategorie-A-Handlungen können vernachlässigt werden, sofern von den Fehlern Komponenten betroffen sind, 1. die im Anforderungsfall automatisch angesteuert werden, 2. die nach Wartung oder Instandsetzung einen Funktionstest durchlaufen, durch den der Fehler aufgedeckt wird, 3. deren Status in der Warte angezeigt, regelmässig geprüft und von der Warte aus geändert werden kann sowie 4. deren Status mindestens einmal pro Schicht überprüft wird. Die Kriterien zur Vernachlässigung von Personalhandlungen sind zu dokumentieren. g. Ein Fehler bei Kategorie-A- und -B-Handlungen darf nicht vernachlässigt werden, wenn 1. dieser Fehler gleichzeitig zur Unverfügbarkeit mehrerer Stränge eines redundanten Systems führt oder 2. dieser Fehler aus der anlagespezifischen oder anwendbaren allgemeinen Betriebserfahrung bekannt ist.

4.3.2 Bestimmung der Fehlerwahrscheinlichkeit von Personalhandlungen

4.3.2.1 Kategorie-A-Handlungen

a. Die Human Error Probability (HEP) von Kategorie-A-Handlungen sind im Rahmen eines systematischen Quantifizierungsprozesses zu bestimmen. Vom ENSI akzeptierte Methoden sind die statistische Methode – d. h. die Quantifizierung der Fehlhandlungen ausschliesslich auf statistischer Basis anhand generischer und anlagenspezifischer Erfahrungen – sowie THERP und ASEP. b. Im Rahmen der detaillierten Quantifizierung sind folgende Einflussgrössen zu berücksichtigen:

1 Qualität der schriftlichen Anweisungen hinsichtlich Ausführung und

Kontrollanforderungen der Handlung

2 Verfügbarkeit von Instrumentierungen und Anzeigen zur Fehlererkennung

6 Januar 2018 (Änderung 1. Oktober 2024)

3. andere Faktoren, die einen Einfluss auf die menschliche Leistungsfähigkeit haben (z. B. Lärm oder zeitliche Einschränkungen) c. Jede in der PSA kreditierte Kategorie-A-Handlung ist gemäss Anhang 3 zu dokumentieren.

4.3.2.2 Kategorie-B-Handlungen

a. Die Quantifizierungsmethodik für Kategorie-B-Handlungen hat derjenigen für Kategorie-A-Handlungen zu entsprechen. b. Personalhandlungen zur Vermeidung eines auslösenden Ereignisses sind als Kategorie-C-Handlungen zu quantifizieren.

4.3.2.3 Kategorie-C-Handlungen

a. Kategorie-C-Handlungen können kreditiert werden, wenn schriftliche Anweisungen vorhanden sind und wenn die Handlungen Gegenstand der Ausbildung sind. Werden Handlungen kreditiert, für welche keine schriftlichen Anweisungen zur Verfügung stehen, ist dies zu begründen. b. Für die Quantifizierung der Fehlerwahrscheinlichkeiten von Kategorie-C- Handlungen sind die Methoden THERP, ASEP, vom ENSI akzeptierte SLIM- Varianten sowie die in Kap. 4.3.2.1 Bst. a beschriebene statistische Methode zulässig. c. Bei der Quantifizierung der Fehlerwahrscheinlichkeiten sind die beiden Handlungsaspekte „Diagnose und Entscheidung“ sowie „Ausführung“ zu betrachten. d. Folgende Performance Shaping Factors (PSFs) sind bei der Quantifizierung der Fehlerwahrscheinlichkeiten zu berücksichtigen:

1 Art und Häufigkeit von Schulungen sowie Erfahrung des Personals

2 Qualität der schriftlichen Anweisungen

3 Verfügbarkeit von Instrumentenanzeigen und Qualität der Mensch-Maschine-Schnittstelle

4 Klarheit und Eindeutigkeit der Anzeigen

5. verfügbares und erforderliches Zeitfenster für die Durchführung einer Handlung

6 Komplexität der Handlung (z. B. Koordinations- und Kommunikationsanforderungen)

7 Umgebungsbedingungen, unter denen die Operateure handeln

Januar 2018 (Änderung 1. Oktober 2024) 7

8 Zugänglichkeit, Verfügbarkeit und Eignung benötigter Werkzeuge und

Hilfsmittel Die Analyse dieser PSFs ist für jede modellierte Personalhandlung zu dokumentieren. Dabei ist anzugeben, welche Faktoren den Diagnose- und Entscheidungsaspekt, welche den Ausführungsaspekt und welche beide Aspekte beeinflussen. e. Insbesondere Vor-Ort-Massnahmen (d. h. Massnahmen ausserhalb der Warte) sind mit Anlagenoperateuren zu besprechen, um Hinweise auf Probleme der Zugänglichkeit oder andere einschränkende Einflüsse auf die Durchführbarkeit der Handlung zu erhalten. Erschwerende Bedingungen während des Störfalls sind zu beachten. f. Kategorie-C-Handlungen sind weitgehend szenariospezifisch zu bestimmen. Wird eine Handlung für verschiedene Szenarien verwendet, ist bei der Quantifizierung der Fehlerwahrscheinlichkeit das abdeckende Szenario anzunehmen. g. Verfügbare Zeitfenster für Personalhandlungen sind mittels thermohydraulischer Analysen zu bestimmen. Die für die Durchführung einer Handlung notwendige Zeit ist durch Operateurbefragungen oder durch Auswertung von Simulatorübungen zu ermitteln. h. Wird die in Kap. 4.3.2.1 Bst. a beschriebene statistische Methode für die Bestimmung von Fehlerwahrscheinlichkeiten von Kategorie-C-Handlungen verwendet, entfallen die Anforderungen nach Bst. c, d, g und i und Kap. 4.3.2.4 Bst. b. i. Für HEPs von Handlungen mit Anforderung des Schichtpersonals gilt eine untere Grenze von 10-5 (Mittelwert). Für Kategorie-C-Handlungen mit Anforderung des Notfallstabs gilt eine untere Grenze von 5·10-3 (Mittelwert). j. Jede in der PSA kreditierte Kategorie-C-Handlung ist gemäss Anhang 4 zu dokumentieren.

4.3.2.4 Abhängigkeiten

a. Folgende Typen von Abhängigkeiten sind systematisch zu untersuchen: 1. Abhängigkeiten innerhalb einer Handlung, wobei die Handlung zu definieren ist als eine Gruppe von Teilhandlungen, die zur Erreichung eines bestimmten Ziels durchgeführt werden, 2. Abhängigkeiten zwischen Kategorie-A-Handlungen,

3 Abhängigkeiten zwischen Kategorie-C-Handlungen sowie zwischen

Kategorie-B- und -C-Handlungen innerhalb einer Unfallsequenz.

8 Januar 2018 (Änderung 1. Oktober 2024)

Dabei sind die zeitlichen Verhältnisse, das Vorliegen gemeinsamer Faktoren (z. B. Instrumentierung, Vorschriften oder Stress) und die Verfügbarkeit von Ressourcen (z. B. Personal) zu berücksichtigen. b. Die minimale Gesamtfehlerwahrscheinlichkeit für die Handlungen in einer Unfallsequenz beträgt 10-5. Bei Unfallsequenzen, in denen der Notfallstab operativ ist, kann die Gesamtfehlerwahrscheinlichkeit auf 10-6 reduziert werden. Eine kleinere Gesamtfehlerwahrscheinlichkeit kann verwendet werden, sofern sie statistisch belegt ist.

4.3.2.5 Unsicherheiten

Für alle HEPs sind Unsicherheiten auszuweisen. Die Unsicherheiten haben die individuelle Variabilität der menschlichen Leistung sowie die szenariospezifischen Einflüsse auf die abgebildete Handlung zu berücksichtigen.

4.3.3 Besondere Randbedingungen für interne systemübergreifende und

externe Ereignisse a. Bei der Modellierung von Personalhandlungen bei internen systemübergreifenden und externen Ereignissen sind fallweise folgende Randbedingungen zu berücksichtigen: 1. erhöhter Stress und Konfusion 2. verminderte Einsatzfähigkeit des Personals 3. begrenzte Zugänglichkeit und Nutzbarkeit von Räumen 4. ausgefallene oder falsch anzeigende Instrumente 5. zusätzliche Arbeitsbelastung des Personals 6. zusätzliche Schwierigkeiten beim Erkennen und bei der Diagnose bestimmter Gefährdungen 7. beschränkte Zugänglichkeit des Kraftwerkareals b. Die Auswirkungen eines Brandes auf die Fehlerwahrscheinlichkeiten von Personalhandlungen sind zu untersuchen. Dabei sind die durch den Brand hervorgerufenen ungünstigen Bedingungen (z. B. Ausbreitung von Rauchgas, Unverfügbarkeit von Alarmierungs- und Beleuchtungseinrichtungen, erschwerter Zugang durch die Auslösung von Löscheinrichtungen) bei den PSFs zu berücksichtigen. c. Die Auswirkungen einer internen Überflutung auf die Fehlerwahrscheinlichkeiten von Personalhandlungen sind zu untersuchen. Dabei sind die durch die Überflutung hervorgerufenen ungünstigen Bedingungen (z. B. hohe

Januar 2018 (Änderung 1. Oktober 2024) 9

Temperaturen und ungünstige Sichtverhältnisse durch Wasserdampf, Überflutung von Räumen, Ausfall von Beleuchtungseinrichtungen) bei den PSFs zu berücksichtigen. d. Die Auswirkungen eines Erdbebens auf die Fehlerwahrscheinlichkeiten von Personalhandlungen sind zu untersuchen. Dabei ist wie folgt zu verfahren: 1. Die Auswahl der Grössen (z. B. Erdbebenbeschleunigung, Erdbebendauer), die ein Erdbeben charakterisieren und von denen angenommen wird, dass sie die Fehlerwahrscheinlichkeiten beeinflussen, ist festzulegen und zu begründen.

2 Der zur Bestimmung der Fehlerwahrscheinlichkeiten verwendete Ansatz sowie verwendete Zahlenwerte (wie z. B. Erhöhungsfaktoren)

sind zu begründen.

3 Die psychischen und physischen Auswirkungen des Erdbebens auf

das Anlagenpersonal sind bei der Modellierung der Fehlerwahrscheinlichkeiten zu berücksichtigen. Insbesondere die mit stärkeren Erdbeben verbundene Unsicherheit über den Anlagenzustand ist bei der Bestimmung der Fehlerwahrscheinlichkeiten zu berücksichtigen. Vom ENSI akzeptierte Verfahren zur Anpassung der Fehlerwahrscheinlichkeiten von Personalhandlungen an die Erdbebenstärke finden sich im Anhang 5.

4.4 Interne Ereignisse

4.4.1 Auslösende Ereignisse

4.4.1.1 Identifizierung auslösender Ereignisse

a. Eine umfassende Liste potenzieller auslösender Ereignisse unter Einbindung des Anlagenpersonals ist zu entwickeln. Mit folgenden Methoden ist sicherzustellen, dass diese möglichst vollständig ist:

1 Systemanalyse (vgl. Kap. 4.4.3) zur systematischen Überprüfung der

Anlagensysteme und -komponenten sowie der Test- und Wartungspraxis

2 Master Logic Diagrams (MLDs), Failure Mode and Effect Analysis

(FMEA) oder andere geeignete Methoden

3 Auswertung der anlagenspezifischen Betriebserfahrung einschliesslich auslösender Ereignisse und Vorläuferereignisse, die aufgrund des

10 Januar 2018 (Änderung 1. Oktober 2024)

Eingriffs von Operateuren oder Begrenzungssystemen nicht zu einer Reaktorschnellabschaltung geführt haben Für jedes Ereignis sind mindestens das Datum, eine Kurzbeschreibung sowie die Ereignisgruppe (vgl. Kap. 4.4.1.2) anzugeben.

4 Auswertung generischer Betriebserfahrungen

International anerkannte und verfügbare Listen auslösender Ereignisse für ähnliche Anlagentypen sind auszuwerten. b. Die Ereigniskategorie der Transienten umfasst: 1. totale oder partielle Ausfälle von Betriebs-, Sicherheits- und Hilfssystemen 2. die unbeabsichtigte Auslösung von Sicherheitssystemen 3. manuelle Reaktorabschaltungen c. Die Ereigniskategorie der Kühlmittelverluststörfälle (KMV, englisch „Loss of Coolant Accidents“, LOCAs) umfasst Brüche in wasser- oder dampfführenden Leitungen. Die Unterteilung nach Leckgrössen und Leckageorten richtet sich nach den Erfolgskriterien für die Vermeidung eines Kern- oder Brennstoffschadens. d. Unabhängig von der Unterteilung gemäss Bst. c sind folgende KMV explizit zu berücksichtigen:

1 KMV an der Schnittstelle zwischen Hoch- und Niederdrucksystemen

(Interfacing Systems LOCA) 2. katastrophales RDB-Versagen (Excessive LOCA), welches von den Einspeisesystemen nicht beherrscht wird

3 Dampferzeugerheizrohrbruch (nur für DWR)

4. nicht-isolierbare KMV ausserhalb des Containments e. In der Nichtleistungs-PSA sind spezifische KMV zu berücksichtigen (z. B. vergessene Absicherung beim Ausbau von Komponenten, Kühlmittelverluste an Abfahrkühlsystemen, Leckagen am Dichtschütz). f. Brennelement-Handhabungsstörfälle, Störfälle durch herabstürzende schwere Lasten sowie Reaktivitätsstörfälle (z. B. Borsäureverdünnung oder Fehlausfahren von Steuerstäben) sind zu diskutieren und bei Bedarf im PSA- Modell für den Nichtleistungsbetrieb zu berücksichtigen.

4.4.1.2 Gruppierung und Auswahl auslösender Ereignisse

a. Werden auslösende Ereignisse zu einer Ereignisgruppe zusammengefasst, ist sicherzustellen, dass

Januar 2018 (Änderung 1. Oktober 2024) 11

1. alle gruppierten Ereignisse ähnliche Auswirkungen auf das Anlageverhalten und auf die erforderlichen Massnahmen zur Vermeidung eines Kern- oder Brennstoffschadens haben (d. h. gleiche Erfolgskriterien), 2. auslösende Ereignisse, die das Potenzial für einen grossen Quellterm aufweisen (z. B. Dampferzeugerheizrohrbruch, katastrophales RDB- Versagen, KMV an Hochdruck-Niederdruck-Schnittstellen, nicht-isolierbare Brüche ausserhalb des Containments) unabhängig voneinander in separaten Kategorien modelliert werden und 3. die für die Ereignisgruppe festgelegten Erfolgskriterien abdeckend, d. h. strenger als diejenigen für die Einzelereignisse, sind. b. Mit Ausnahme der unter Kap. 4.4.1.1 Bst. d aufgelisteten KMV kann eine Ereignisgruppe mit einer Häufigkeit kleiner 10-8 pro Jahr vernachlässigt werden, wenn diese nicht direkt zu einem Kern- oder Brennstoffschaden führt.

4.4.1.3 Quantifizierung der Häufigkeit auslösender Ereignisse

a. Bei der Quantifizierung der Häufigkeit auslösender Ereignisse sind die anlagenspezifischen Rohdaten auszuwerten. b. Zur Verbesserung der statistischen Sicherheit sind generische Häufigkeiten auslösender Ereignisse (inkl. Unsicherheiten) aus international anerkannten Quellen heranzuziehen. Die generischen Daten sind hinsichtlich ihrer Übertragbarkeit zu überprüfen. c. Die anlagenspezifischen Rohdaten und generischen Daten sind mittels eines Bayes’schen Verfahrens zu verrechnen. d. Zur Bestimmung der Häufigkeiten auslösender Ereignisse, die durch Ausfälle von Hilfssystemen verursacht wurden, ist eine Fehlerbaummodellierung durchzuführen. Dies gilt auch für auslösende Ereignisse, die durch Ausfälle von Betriebssystemen verursacht werden, falls dies für die PSA-Anwendungen gemäss Richtlinie ENSI-A06 erforderlich ist. Die Konsistenz der ermittelten Häufigkeiten mit der anlagenspezifischen Betriebserfahrung ist aufzuzeigen. e. Die Häufigkeiten von Kühlmittelverluststörfällen sind aus generischen Daten unter Berücksichtigung anlagenspezifischer Gegebenheiten zu bestimmen. Bei der Bewertung der Übertragbarkeit sind anlagenspezifische Merkmale, Erkenntnisse aus Wiederholungsprüfprogrammen, aus Leck-vor-Bruch-Analysen oder aus probabilistischen Bruchmechanik-Analysen zu berücksichtigen. In begründeten Fällen können Bruchhäufigkeiten auf Basis probabilistischer Bruchmechanik-Analysen bestimmt werden.

12 Januar 2018 (Änderung 1. Oktober 2024)

f. Bei der Bestimmung der Häufigkeiten von „Interfacing Systems LOCAs“ sind die möglichen Versagensorte, die Art der Absperrung, Verriegelungen sowie die Überwachungsstrategien zu beachten. g. Die Häufigkeiten auslösender Ereignissen sind unabhängig vom betrachteten Betriebszustand auf das Kalenderjahr zu beziehen. h. Für jedes im PSA-Modell abgebildete auslösende Ereignis sind die mittlere Häufigkeit und die Unsicherheitsverteilung anzugeben. Dabei ist die sich aus der Bayes’schen-Aufdatierung ergebende Unsicherheitsverteilung direkt zu übernehmen oder durch eine geeignete Verteilung zu repräsentieren.

4.4.2 Unfallablaufanalyse

4.4.2.1 Identifizierung der Schutzzielfunktionen

Die Schutzzielfunktionen, mit denen ein Kern- oder Brennstoffschaden nach einem auslösenden Ereignis verhindert werden kann, sind zu identifizieren. Dabei ist auf Konsistenz mit den bestehenden Analysen zum Anlageverhalten und den Vorschriften zu achten.

4.4.2.2 Modellierung des Unfallablaufs

a. Für jedes auslösende Ereignis sind die möglichen Unfallsequenzen anhand von Ereignisablaufdiagrammen (Event Sequence Diagrams) darzustellen. Diese grafische Darstellung ist um eine Beschreibung der einzelnen Unfallsequenzen zu ergänzen, wobei auf relevante Auslegungs- und Betriebsmerkmale sowie auf die Vorgaben in den Vorschriften einzugehen ist. b. Die Unfallsequenzen sind im PSA-Modell mittels einer Linked-Fault-Tree- oder einer Linked-Event-Tree-Methode abzubilden. Das PSA-Modell soll den Verlauf der Unfallsequenzen soweit als möglich abbilden. c. Jede modellierte Unfallsequenz endet entweder in einem Erfolgszustand (d. h. sicherer und stabiler Anlagenbetrieb) oder in einem Kern- oder Brennstoffschadenszustand. d. Der Unfallablauf ist im Allgemeinen über ein Zeitfenster von mindestens 24 Stunden zu analysieren (Mission Time). Bei Unfallsequenzen, die innerhalb dieses Zeitraums nicht in einem sicheren und stabilen Zustand enden, ist ein Kern- oder Brennstoffschaden anzunehmen. Wenn hingegen gezeigt werden kann, dass genügend Erfolg versprechende Massnahmen zur langfristigen Stabilisierung der Anlage zur Verfügung stehen, kann von einer Beherrschung des Unfalls ausgegangen werden. e. Im Falle eines nicht isolierbaren KMV ausserhalb des Containments ist anzunehmen, dass ein stabiler Endzustand nur dann erreicht wird, wenn der

Januar 2018 (Änderung 1. Oktober 2024) 13

Kühlmittelverlust beispielsweise durch Absenken von Temperatur und Druck im Reaktor dauerhaft beendet wird. f. Für jede modellierte Schutzzielfunktion sind die Abhängigkeit vom auslösenden Ereignis sowie mögliche Abhängigkeiten vom Erfolg oder Misserfolg im Unfallablauf notwendiger Schutzzielfunktionen zu identifizieren. g. Bei der Modellierung von Unfallsequenzen sind Sekundäreffekte, welche durch das auslösende Ereignis oder weitere Ereignisse während des Unfallverlaufs hervorgerufen werden können, zu berücksichtigen. Bei einem grösseren KMV sind der Einfluss von Überflutungseffekten (z. B. Verstopfung von Sumpfsieben) sowie die Beeinträchtigung von System- und Komponentenverfügbarkeiten aufgrund erhöhter Luftfeuchte und -temperatur zu berücksichtigen.

4.4.2.3 Bestimmung der Erfolgskriterien

a. Für jede Schutzzielfunktion sind in Abhängigkeit vom auslösenden Ereignis und der spezifischen Unfallsequenz die Erfolgskriterien im Sinne von benötigten Systemen oder Komponenten einschliesslich der entsprechenden Hilfssysteme zu ermitteln und zu dokumentieren. b. Die Erfolgskriterien sind mittels realistischer oder konservativer thermohydraulischer Analysen zu bestimmen. c. Numerische Analysen sind mit anerkannten Computerprogrammen durchzuführen.

4.4.3 Systemanalyse

a. Für jedes Sicherheitssystem sind die für die Funktion notwendigen Hilfssysteme zu ermitteln. Abhängigkeiten zwischen Sicherheitssystemen und Hilfssystemen oder zwischen verschiedenen Hilfssystemen sind in Form einer Dependency Matrix darzustellen. b. Werden Systeme von mehreren Kraftwerksblöcken gemeinsam genutzt (z. B. Dieselgeneratoren), sind die blockübergreifenden Abhängigkeiten zu berücksichtigen. c. Die Modellierung von Systemunverfügbarkeiten hat mittels Fehlerbäumen zu erfolgen, welche den Ist-Zustand und die Betriebsweise der Systeme wiedergeben. d. In der Systemmodellierung sind zu berücksichtigen:

1 Unverfügbarkeiten aktiver und passiver Komponenten aufgrund von

abhängigen und unabhängigen Ausfällen oder Instandhaltungsmassnahmen

14 Januar 2018 (Änderung 1. Oktober 2024)

2 Fehlermodi wie Strömungsumkehr oder Fehlauslösungen des Komponentenschutzes

3. betriebliche Einschränkungen gemäss Technischer Spezifikation 4. funktionale Abhängigkeiten von Stromversorgung, Kühlung, Steuerung und Anregung 5. unterschiedliche Konfigurationen des betrachteten Systems

6 Einfluss des auslösenden Ereignisses auf das System

7 Fehlhandlungen des Personals

e. Die Komponentenmodelle müssen folgende Faktoren berücksichtigen: 1. erforderliche Einsatzzeiten (Mission Time)

2 Häufigkeiten und Dauer von Instandhaltungsmassnahmen

3 Prüfintervalle

4 Anzahl Anforderungen und Anzahl Ausfälle

5 Fehlermodi (z. B. Startversagen oder Versagen während der Laufzeit)

f. Die Wartungsunverfügbarkeit und ein aktiver Fehlermodus sind in verschiedenen Basisereignissen zu modellieren. g. Ein Ausfall aufgrund des Fehlermodus „Strömungsumkehr“ kann im PSA- Modell vernachlässigt werden, wenn der entsprechende Verlust des Strömungsmediums nur geringfügig oder sehr unwahrscheinlich ist (z. B. weil hierfür zwei oder mehr Handarmaturen in einer fehlerhaften Position stehen müssen). h. Logische Schleifen im Modell (verursacht durch gegenseitige Systemabhängigkeiten) sind so aufzulösen, dass die PSA-Resultate nur geringfügig beeinflusst werden. i. Für folgende Komponententypen sind CCF zu modellieren:

1 Pumpen

2 Notstromdiesel

3 Ventilatoren

4 Steuerstäbe

5 Motorarmaturen, pneumatische Ventile und Rückschlagklappen

6 Wärmetauscher

7 Messwertgeber

8 Sicherheits- und Abblaseregelventile

Januar 2018 (Änderung 1. Oktober 2024) 15

9 Frischdampf-Isolationsventile

10 Batterien, Ladegeräte, Wechselrichter und Relais

11 Schalter und Trenner

12 Siebe

Die Vollständigkeit der berücksichtigten Komponententypen ist anhand der internationalen Erfahrung zu überprüfen. j. Die Möglichkeit systemübergreifender CCF ist zu diskutieren. Dabei sind Kopplungsfaktoren wie gleicher Komponententyp, Hersteller, gemeinsame Auslegungsmerkmale oder Wartungsstrategie zu berücksichtigen. Systemübergreifende CCF sind im PSA-Modell abzubilden. k. Für die Benennung von Basisereignissen ist eine systematische Nomenklatur zu verwenden, aus welcher die AKZ des Systems oder der Komponente und der Fehlermodus oder die Personalhandlung hervorgehen. l. In Einzelfällen können verschiedene Komponenten zu einer gemeinsamen Komponente (Superkomponente) zusammengefasst werden. Dabei ist zu beachten, dass der Ausfall jeder Einzelkomponente denselben Effekt auf die Funktion der Superkomponente hat. Die Zusammensetzung von Superkomponenten ist nachvollziehbar zu dokumentieren. m. Für jedes in der PSA modellierte System sind die wichtigsten minimalen Ausfallkombinationen auf Plausibilität zu prüfen sowie die Gesamtunverfügbarkeit zu dokumentieren.

4.5 Interne systemübergreifende Ereignisse

4.5.1 Auswahlverfahren und Auswahlkriterien

a. Interne Brände und interne Überflutungen sind entsprechend den Anforderungen in den Kap. 4.5.2 und 4.5.3 zu analysieren und im PSA-Modell abzubilden. b. Zusätzlich sind folgende Ereignisse zu analysieren:

1 Explosion

2 Freisetzung giftiger Gase

3 Turbinenzerknall

c. Die Ereignisse Explosion und Freisetzung giftiger Gase müssen nicht im PSA-Modell abgebildet werden, wenn eine der folgenden Bedingungen erfüllt ist:

16 Januar 2018 (Änderung 1. Oktober 2024)

1. Es kann mit qualitativen Argumenten gezeigt werden, dass die Gefährdung nur vernachlässigbar zur CDF beziehungsweise FDF beiträgt. Dies kann erfolgen, indem gezeigt wird, dass die Auswirkungen auf die Anlage nicht zu einer Anforderung von Sicherheitssystemen führen oder die Auswirkungen durch Ereignisse abgedeckt sind, die eine deutlich höhere Eintrittshäufigkeit haben.

2 Eine quantitative Abschätzung zeigt, dass der CDF- sowie der FDF-

Beitrag unterhalb 10-9 pro Jahr liegen. d. Das Ereignis Turbinenzerknall muss nicht im PSA-Modell abgebildet werden, wenn eine quantitative Abschätzung zeigt, dass der CDF-Beitrag unterhalb 10-9 pro Jahr liegt (vgl. Kap. 4.5.4).

4.5.2 Brand

4.5.2.1 Identifizierung und Auswahl relevanter Brandabschnitte

a. Anhand der Betriebsdokumentation sind Unterlagen zu identifizieren, aus denen folgende Information hervorgeht:

1 Brandabschnitte (entsprechend Brandschutzkonzept)

2 Brandlasten (permanente, temporäre und transiente)

3 Zündquellen (z. B. Transformatoren, Elektroschränke oder Schweissarbeiten) und brandgefährdete PSA-Komponenten

4 Kabelverläufe

5. brandschutztechnische Einrichtungen zur Branderkennung und -bekämpfung sowie Brandbarrieren und deren Feuerwiderstandsdauer b. Es ist eine umfassende und systematische Anlagenbegehung durchzuführen, um 1. die oben erfasste Information zu verifizieren, 2. die räumliche Verteilung und Trennung von Zündquellen und Brandlasten aufzunehmen, 3. potenzielle Brandausbreitungspfade und Brandszenarien zu identifizieren und zu dokumentieren sowie um 4. die Gefährdung von PSA-Komponenten durch Brandauswirkungen (Hitze und Rauchgase) und durch Löschmassnahmen zu analysieren. c. Für alle in der Nichtleistungs-PSA modellierten Betriebszustände sind die Unterschiede zur Leistungs-PSA bezüglich potenzieller Zündquellen, Brandlasten, Brandausbreitung und Brandbekämpfung zu identifizieren.

Januar 2018 (Änderung 1. Oktober 2024) 17

d. Die für die Brandanalyse erforderliche Information ist strukturiert in einer Datenbank (Spatial Interaction Database) abzulegen. e. Ein Brandabschnitt kann von der weiteren Analyse ausgeschlossen werden, wenn er alle folgenden Kriterien erfüllt: 1. Er enthält keine PSA-Komponenten.

2 Ein Brand in diesem Brandabschnitt führt weder zu einem auslösenden

Ereignis noch erfordert er eine manuelle Abschaltung des Reaktors.

3 Weder angrenzende Brandabschnitte noch Brandabschnitte, die mit

dem betrachteten Brandabschnitt durch Lüftungseinrichtungen verbunden sind, enthalten PSA-Komponenten. f. Brandabschnitte können ebenfalls von der weiteren Analyse ausgeschlossen werden, wenn die Summe aller CDF- beziehungsweise FDF-Beiträge der jeweiligen Brandszenarien geringer ist als 10-8 pro Jahr. Die Berechnung der CDF beziehungsweise FDF ist dabei unter folgenden konservativen Randbedingungen durchzuführen:

1 Eine Ausbreitung von Brandauswirkungen auf andere Brandabschnitte

ist für alle angrenzenden Brandabschnitte sowie alle Brandabschnitte, die mit dem betrachteten Brandabschnitt durch Lüftungseinrichtungen verbunden sind, zu betrachten. Die Wahrscheinlichkeit einer solchen Ausbreitung ist in die Berechnung der CDF beziehungsweise FDF einzubeziehen.

2 Alle brandgefährdeten Komponenten im betrachteten Brandabschnitt

sowie in sämtlichen Brandabschnitten, in die eine Ausbreitung von Brandauswirkungen zu unterstellen ist, sind als ausgefallen zu betrachten. 3. Der Ausfall von Kabeln führt zu den ungünstigsten Auswirkungen (Ausfall oder Fehlanregung) auf die zugehörigen Komponenten. Die Bestimmung der Brandeintrittshäufigkeiten erfolgt entsprechend Kap. 4.5.2.2. g. Die Ergebnisse des Auswahlprozesses (relevante und ausgeschlossene Brandabschnitte) sind nachvollziehbar zu dokumentieren.

4.5.2.2 Bestimmung von Brandeintrittshäufigkeiten

a. Für jedes in den relevanten Brandabschnitten identifizierte Brandszenario ist unter Berücksichtigung von Anzahl und Art der Zündquellen eine Eintrittshäufigkeit zu ermitteln.

18 Januar 2018 (Änderung 1. Oktober 2024)

b. Die Brandeintrittshäufigkeiten sind auf Basis anlagenspezifischer und generischer Erfahrungen mittels eines Bayes’schen Verfahrens zu bestimmen. Hierbei sind mindestens Brandereignisse zu berücksichtigen, die durch typischerweise in PSA-relevanten Bereichen der Anlage vorkommende Zündquellen ausgelöst wurden. c. Für jedes identifizierte anlagenspezifische Brandereignis ist mindestens folgende Information zu dokumentieren:

1 Betriebszustand der Anlage

2 Ort der Brandentstehung

3 Brandursache

4 Auslösung von Brandmelde- und -löscheinrichtungen

5 Brandausbreitung und Brandauswirkungen (z. B. beschädigte Komponenten und Brandbarrieren)

d. Die Übertragbarkeit der generischen Erfahrungen ist zu überprüfen.

4.5.2.3 Identifizierung und Auswahl relevanter Brandszenarien

a. Brandszenarien der aufgrund des quantitativen Auswahlprozesses zu analysierenden Brandabschnitte, die bedeutende Beiträge zur Brand-CDF beziehungsweise -FDF liefern, sind bevorzugt mit Hilfe eines Brandereignisbaums verfeinert zu analysieren. Im Brandereignisbaum ist ausgehend von der Brandeintrittshäufigkeit die Verfügbarkeit der im Brandabschnitt vorhandenen Branderkennungs- und Brandbekämpfungsmöglichkeiten sowie der Brandbarrieren abzufragen. b. Die Ausfallwahrscheinlichkeiten von Personalhandlungen zur Branderkennung und -bekämpfung sind gemäss Kap. 4.3.2 zu bestimmen. c. Die Ausfallwahrscheinlichkeiten der Einrichtungen zur automatischen Branderkennung und -bekämpfung sowie die Wahrscheinlichkeit offener Türen und Brandschutzklappen sind direkt auf Basis generischer und anlagenspezifischer Erfahrungen oder mittels Fehlerbaumanalyse abzuschätzen. d. Das Schadensausmass (im Sinne ausgefallener PSA-Komponenten) eines jeden Brandszenarios ist in Abhängigkeit des Ausfalls der modellierten Branderkennungs- und Brandbekämpfungsmöglichkeiten sowie der Widerstandsfähigkeit der Brandbarrieren (Wände, Türen, Klappen und Schottungen) zu bestimmen und zu dokumentieren. e. Die Auswirkungen von Kabelbränden auf die zugehörigen Komponenten sind entweder detailliert zu untersuchen (Circuit Analysis) oder es sind die konservativen Randbedingungen unter Kap. 4.5.2.1 Bst. f beizubehalten.

Januar 2018 (Änderung 1. Oktober 2024) 19

f. Die Annahmen bezüglich der räumlichen Trennung und der Widerstandsfähigkeit der Brandbarrieren sind für ausgewählte Brandabschnitte mit Hilfe eines anerkannten Brandsimulationsprogramms oder einer anderen anerkannten Berechnungsmethode zu verifizieren. g. Die Häufigkeiten von Brandszenarien, die zu einem vergleichbaren Schadensausmass führen, können zusammengefasst werden. h. Brandszenarien können vernachlässigt werden, wenn die Summe ihrer CDF- beziehungsweise FDF-Beiträge inklusive dem Beitrag der auf quantitativer Basis vernachlässigten Brandabschnitte geringer ist als 10-8 pro Jahr.

4.5.2.4 Bestimmung der Brand-CDF beziehungsweise -FDF

a. Die Brand-CDF beziehungsweise -FDF ist unter Berücksichtigung der Häufigkeiten der relevanten Brandszenarien und der szenariospezifischen Schadensausmasse mit Hilfe des PSA-Modells für interne Ereignisse zu bestimmen, indem die vom Brand betroffenen PSA-Komponenten als ausgefallen angenommen werden. b. Es ist zu überprüfen, inwieweit die im PSA-Modell für interne Ereignisse berücksichtigten Ausfallwahrscheinlichkeiten für Personalhandlungen entsprechend Kap. 4.3.3 zu modifizieren sind. c. Für jedes Gebäude, welches PSA-Komponenten enthält, ist jeweils der gesamte CDF- beziehungsweise FDF-Beitrag sowie die CDF- beziehungsweise FDF-Beiträge der wichtigsten Räume und Bereiche tabellarisch anzugeben. d. Bei der Bestimmung der Brand-CDF beziehungsweise -FDF sind die mit der Ermittlung der Brandeintrittshäufigkeiten und der Ausfallwahrscheinlichkeiten der manuellen und automatischen Branderkennung und -bekämpfung verbundenen Unsicherheiten zu berücksichtigen.

4.5.3 Interne Überflutung

4.5.3.1 Identifizierung und Auswahl relevanter Überflutungsbereiche

a. Anhand der Betriebsdokumentation sind Unterlagen zu identifizieren, aus denen folgende Angaben hervorgehen:

1 Überflutungsquellen (wasserführende Behälter oder Rohrleitungen)

2 Überflutungsbereiche

3. mögliche Überflutungsursachen (z. B. Rohrleitungsbrüche, Fehlhandlungen oder Fehlauslösungen wasserführender Systeme)

20 Januar 2018 (Änderung 1. Oktober 2024)

4. Merkmale der Überflutungsquellen (z. B. Standort, Kapazität, Medium, Ausflussmenge) 5. überflutungsgefährdete PSA-Komponenten 6. technische Einrichtungen zum Schutz gegen Überflutung (z. B. Abflüsse, Sumpfpumpen, wasserdichte Türen, Erkennungs- und Absperrmöglichkeiten) b. Es ist eine umfassende und systematische Anlagenbegehung durchzuführen, um 1. die oben erfassten Angaben zu verifizieren, 2. die räumliche Verteilung der Überflutungsquellen aufzunehmen, 3. potenzielle Ausbreitungspfade der Überflutung oder Überflutungsszenarien zu identifizieren sowie 4. die Gefährdung von PSA-Komponenten durch Überflutung (z. B. kritische Fluthöhe) und indirekte Auswirkungen (z. B. Sprüheffekte, Strahlkräfte, Schlagen einer Rohrleitung, erhöhte Umgebungstemperaturen) zu analysieren. c. Für alle in der Nichtleistungs-PSA modellierten Betriebszustände sind die Unterschiede zur Leistungs-PSA bezüglich potenzieller Überflutungsquellen, Ausbreitungspfade, Erkennung und Absperrung der Überflutung zu identifizieren. d. Die für die Überflutungsanalyse erforderlichen Angaben sind strukturiert in einer Datenbank (Spatial Interaction Database) abzulegen. e. Ein Überflutungsbereich kann von der weiteren Analyse ausgeschlossen werden, wenn er alle folgenden Kriterien erfüllt: 1. Er enthält keine PSA-Komponenten.

2 Eine Überflutung in diesem Bereich führt weder zu einem auslösenden

Ereignis noch erfordert sie eine manuelle Abschaltung des Reaktors. 3. Angrenzende Überflutungsbereiche, in die eine Ausbreitung der Überflutung aufgrund des Versagens wasserdichter Barrieren möglich ist, enthalten keine PSA-Komponenten. f. Der betrachtete Überflutungsbereich kann ebenfalls von der weiteren Analyse ausgeschlossen werden, wenn unter konservativen Randbedingungen der Nachweis erbracht wird, dass eine Überflutung weder im betrachteten Bereich noch in den angrenzenden Überflutungsbereichen, in die eine Ausbreitung der Überflutung aufgrund des Versagens wasserdichter Barrieren möglich ist, zu einer Gefährdung von PSA-Komponenten führt.

Januar 2018 (Änderung 1. Oktober 2024) 21

g. Überflutungsbereiche können auch dann von der weiteren Analyse ausgeschlossen werden, wenn die Summe aller CDF- beziehungsweise FDF-Beiträge der jeweiligen Überflutungsszenarien geringer ist als 10-8 pro Jahr. Die Berechnung der CDF beziehungsweise FDF ist dabei unter folgenden konservativen Randbedingungen durchzuführen:

1 Es ist eine Ausbreitung der Überflutung auf alle angrenzenden Überflutungsbereiche, in die eine Ausbreitung der Überflutung aufgrund des

Versagens wasserdichter Barrieren möglich ist, zu unterstellen. Die Wahrscheinlichkeit des Versagens der Barrieren ist in die Berechnung der CDF beziehungsweise FDF einzubeziehen.

2 Alle überflutungsgefährdeten Komponenten im betrachteten Überflutungsbereich sowie in den angrenzenden Überflutungsbereichen, in

die eine Ausbreitung der Überflutung zu unterstellen ist, sind als ausgefallen zu betrachten.

3 Die Überflutung führt zu den ungünstigsten Auswirkungen (Ausfall oder

Fehlanregung) auf die betroffenen Komponenten. Die Bestimmung der Überflutungseintrittshäufigkeiten erfolgt gemäss Kap. 4.5.3.2. h. Die Ergebnisse des Auswahlprozesses (relevante und ausgeschlossene Überflutungsbereiche) sind nachvollziehbar zu dokumentieren.

4.5.3.2 Bestimmung von Überflutungseintrittshäufigkeiten

a. Für jedes in den relevanten Überflutungsbereichen identifizierte Überflutungsszenario ist unter Berücksichtigung von Anzahl und Art der Überflutungsquellen eine Eintrittshäufigkeit zu ermitteln. b. Die Überflutungseintrittshäufigkeiten sind auf Basis anlagenspezifischer und generischer Erfahrungen mittels eines Bayes’schen Verfahrens zu bestimmen. Hierbei sind insbesondere Überflutungsereignisse zu berücksichtigen, die durch typischerweise in PSA-relevanten Bereichen der Anlage vorkommende Überflutungsquellen ausgelöst wurden. c. Für jedes identifizierte anlagenspezifische Überflutungsereignis sind mindestens folgende Angaben zu dokumentieren:

1 Betriebszustand der Anlage

2 Ort der Überflutungsquelle

3 Ursache der Überflutung

4 Ausbreitung und Auswirkungen der Überflutung (z. B. beschädigte

Komponenten)

22 Januar 2018 (Änderung 1. Oktober 2024)

d. Die Übertragbarkeit der generischen Erfahrungen ist zu überprüfen.

4.5.3.3 Identifizierung und Auswahl relevanter Überflutungsszenarien

a. Die Häufigkeit jedes Überflutungsszenarios ist ausgehend von der Überflutungseintrittshäufigkeit unter Berücksichtigung der Verfügbarkeit der im Überflutungsbereich vorhandenen Erkennungs- und Absperrmöglichkeiten zu bestimmen. b. Die Zeiten bis zur Gefährdung PSA-relevanter Komponenten sind unter Berücksichtigung der Ausflussmengen, der Drainagemöglichkeiten und der kritischen Volumina der Überflutungsbereiche abzuschätzen. c. Die Ausfallwahrscheinlichkeiten von Personalhandlungen zur Erkennung und manuellen Absperrung von Überflutungsquellen sind gemäss Kap. 4.3.2 abzuschätzen. d. Die Ausfallwahrscheinlichkeiten der Einrichtungen zur automatischen Erkennung und Absperrung von Überflutungsquellen sind auf Basis statistischer Auswertungen abzuschätzen. e. Für jedes Überflutungsszenario ist das Schadensausmass (d. h. ausgefallene PSA-Komponenten) in Abhängigkeit des Ausfalls der Erkennungs- und Absperrmöglichkeiten zu bestimmen und zu dokumentieren. f. Die Häufigkeiten von Überflutungsszenarien, die zu einem vergleichbaren Schadensausmass führen, können zusammengefasst werden. g. Überflutungsszenarien können vernachlässigt werden, wenn die Summe ihrer CDF- beziehungsweise FDF-Beiträge inklusive dem Beitrag der auf quantitativer Basis vernachlässigten Überflutungsbereiche geringer ist als 10-8 pro Jahr.

4.5.3.4 Bestimmung der Überflutungs-CDF beziehungsweise -FDF

a. Die Überflutungs-CDF beziehungsweise -FDF ist unter Berücksichtigung der Häufigkeiten der relevanten Überflutungsszenarien und der szenariospezifischen Schadensausmasse mit Hilfe des PSA-Modells für interne Ereignisse zu bestimmen, indem die von der Überflutung betroffenen PSA-Komponenten als ausgefallen angenommen werden. b. Es ist zu überprüfen, inwieweit die im PSA-Modell für interne Ereignisse berücksichtigten Ausfallwahrscheinlichkeiten für Personalhandlungen gemäss Kap. 4.3.3 zu modifizieren sind.

Januar 2018 (Änderung 1. Oktober 2024) 23

c. Für jedes Gebäude, welches PSA-Komponenten enthält, ist jeweils der gesamte CDF- beziehungsweise -FDF-Beitrag sowie die CDF- beziehungsweise FDF-Beiträge der wichtigsten Überflutungsbereiche tabellarisch anzugeben. d. Bei der Bestimmung der Überflutungs-CDF beziehungsweise -FDF sind die mit der Ermittlung der Überflutungseintrittshäufigkeiten und der Ausfallwahrscheinlichkeiten der Erkennungs- und Absperrmöglichkeiten verbundenen Unsicherheiten zu berücksichtigen.

4.5.4 Turbinenzerknall

a. Für die generische Häufigkeitsverteilung eines Turbinenzerknalls ist eine Lognormalverteilung mit Mittelwert 1,8·10-4 pro Jahr und Error-Faktor 3 anzunehmen. b. Für die Berechnung der Häufigkeit eines Turbinenzerknalls (f1) können herstellerspezifische und die unter Bst. a aufgeführten generischen Daten mittels eines Bayes’schen Verfahrens miteinander verrechnet werden. c. Potenzielle Trajektorien für die aus der Turbine herausgeschleuderten Teile (Turbinengeschosse) sind zu bestimmen. Folgende Einflüsse sind dabei zu berücksichtigen: 1. die Geschwindigkeit der Turbinengeschosse und die Variation des Flugwinkels (der Bereich zwischen -25° und +25° gemessen von der Rotationsebene ist zu betrachten) 2. mögliche Hindernisse (z. B. Gebäude- oder Raumwände). d. Die Geschwindigkeit der Turbinengeschosse ist aus der Rotationsgeschwindigkeit der Turbinenwelle abzuleiten. Dabei sind einerseits Havarien im Normalbetrieb oder beim Hochfahren der Turbine und andererseits Havarien bei Überdrehzahl zu berücksichtigen. e. Es sind diejenigen Ziele zu identifizieren, die bei einem Turbinengeschosstreffer möglicherweise zu einem direkten oder indirekten (z. B. Zerstörung einer Wand, Überflutung oder Brand) Versagen einer PSA-Komponente führen. f. Für jedes der identifizierten Ziele ist die bedingte Wahrscheinlichkeit (bei einem Turbinenzerknall) eines Geschosstreffers (PA) zu ermitteln. Dabei ist anzunehmen, dass vier Turbinengeschosse mit voneinander unabhängigen Trajektorien gleichzeitig erzeugt werden. g. Für jedes identifizierte Ziel ist die bedingte Versagenswahrscheinlichkeit (bei einem Treffer) (PB) zu ermitteln. Wird eine PSA-Komponente direkt getroffen,

24 Januar 2018 (Änderung 1. Oktober 2024)

ist deren Ausfall zu unterstellen (PB = 1). Die Häufigkeit eines Komponentenausfalls (f) wird mit der Formel f = f1 ∙ PA ⋅ PB berechnet. h. Die Konsequenzen der vier ungünstigsten, unabhängigen Turbinengeschosse sind zu analysieren und in einem auslösenden Ereignis zusammenzufassen: 1. Die Häufigkeit gemäss Bst. g ist diesem auslösenden Ereignis zuzuordnen.

2 Es sind die durch den Turbinenbrand (z. B. Zündung von Wasserstoff

oder Schmieröl) hervorgerufenen Ausfälle von PSA-Komponenten im PSA-Modell zu berücksichtigen und die Auswirkungen von Wasserstoffexplosionen und Rauchgasen zu diskutieren.

4.6 Externe Ereignisse

4.6.1 Auswahlverfahren und Auswahlkriterien

a. Erdbeben, extreme Winde, Tornados, externe Überflutung und Flugzeugabsturz sind entsprechend den Anforderungen in den Kap. 4.6.2 bis 4.6.6 zu analysieren und im PSA-Modell abzubilden. b. Zusätzlich sind folgende Gefährdungen zu analysieren:

1 Trockenheit, die zu Fluss-Niedrigwasser und niedrigem Grundwasserpegel führt

2 Waldbrand

3. hohe Sommertemperaturen 4. tiefe Wintertemperaturen

5 Vereisungsphänomene (wie gefrierende Niederschläge, Eisansammlung an Strukturen, Flussvereisung)

6 Schnee(verwehungen)

7 Hagel

8 Blitzschlag

9 Sonnensturm

10 Hangrutschung oder Bergsturz

11 Flussbettverlagerung

12 Verstopfung der Einlassrechen und -siebe durch vom Fluss transportiertes Material (wie Baumstämme, Äste, Blätter, Muscheln, Algen oder

Januar 2018 (Änderung 1. Oktober 2024) 25

Eisbrei). Werden die Wasserfassungen aufgrund externer Überflutung blockiert, ist dies im Rahmen der Analyse zur externen Überflutung zu modellieren (vgl. Kap. 4.6.5).

13 Bodenverfestigung (Schrumpfen oder Aufquellen)

14 Unfälle in Industrie- oder Militäranlagen

15 Pipeline-Unfall

16 Freisetzung von Chemikalien auf dem Anlagengelände

17 Verkehrs- und Transportunfälle

Die Auswirkungen dieser Gefährdungen auf die Anlage sind zu beschreiben. Wo zutreffend sind die relevanten physikalischen Kenngrössen der Gefährdung darzulegen. c. Es ist vom Betreiber zu prüfen, ob für seine Anlage die unter Bst. b genannten Gefährdungen gemäss dem Stand von Wissenschaft und Technik alle relevanten Gefährdungen beinhalten. Die wichtigsten Kombinationen von Gefährdungen aus Bst. a und b, die erfahrungsgemäss möglich sind, sind anhand einer Matrix zu identifizieren und zu bewerten. d. Darüber hinaus sind folgende Kombinationen von Gefährdungen zu betrachten: 1. ausserordentlich raue Winterbedingungen mit Schnee(verwehungen), niedrigen Temperaturen und Vereisung 2. ausgeprägt harte Sommerbedingungen mit hohen Temperaturen, Trockenheit, Waldbrand und niedrigem Flusswasserspiegel e. Ereignisse infolge der unter Bst. b bis d genannten Gefährdungen müssen nicht im PSA-Modell abgebildet werden, wenn eine der folgenden Bedingungen erfüllt ist:

1 Es kann mit qualitativen Argumenten gezeigt werden, dass die Gefährdung vernachlässigbar zur CDF beziehungsweise FDF beiträgt. Dies

kann erfolgen, indem gezeigt wird, dass die Auswirkungen auf die Anlage nicht zu einer Anforderung von Sicherheitssystemen führen oder die Auswirkungen durch Ereignisse abgedeckt sind, die eine deutlich höhere Eintrittshäufigkeit haben.

2 Eine quantitative Abschätzung zeigt, dass der CDF- beziehungsweise

FDF-Beitrag unterhalb 10-9 pro Jahr liegt.

26 Januar 2018 (Änderung 1. Oktober 2024)

4.6.2 Erdbeben

4.6.2.1 Bodenbeschleunigung

4.6.2.1.1 Gefährdungsanalyse

a. Es ist eine standortspezifische probabilistische Erdbebengefährdungsanalyse (Probabilistic Seismic Hazard Analysis, PSHA) durchzuführen. Ergebnis dieser Analyse ist die jährliche Überschreitungshäufigkeit von Bodenbeschleunigungen am Anlagenstandort inklusive Unsicherheiten. b. Bei der Aktualisierung der PSHA sind folgende Anforderungen einzuhalten: 1. Dem ENSI ist ein detaillierter Projektplan vorzulegen.

2 Die PSHA ist darauf auszurichten, dass Mittelwert, Form und Bandbreite der Unsicherheit in den Resultaten den gefestigten und den sich

als gefestigt abzeichnenden Stand von Wissenschaft und Technik widerspiegeln.

3 Es sind eine begleitende und eine abschliessende Überprüfung durch

das ENSI vorzusehen.

4 Das PSHA-Projekt ist in eine fachtechnische Projektleitung, bestehend

aus einem einzelnen Experten oder einem kleineren Expertenteam, sowie die vier Teilprojekte „Seismische Quellen“ (TP 1), „Beschleunigungsabminderung“ (TP 2), „Standorteinflüsse“ (TP 3) und „Gefährdungsberechnung“ (TP 4) zu gliedern.

5 Für das TP 1 ist ein Bewerter-Team aus mindestens 6 Experten erforderlich, für das TP 2 mindestens 5 und das TP 3 mindestens 3. Das

Bewerter-Team des TP 1 hat die Fachgebiete Seismologie, Geophysik und Geologie abzudecken. 6. Die Mitwirkung der Experten in der PSHA hat mindestens den Anforderungen gemäss Anhang 6 zu genügen. 7. Die Verantwortlichkeiten sind klar festzulegen und deren Wahrnehmungen bei der Umsetzung im Projekt schriftlich zu bestätigen.

8 Eine Liste mit den Namen der fachtechnischen Projektleiter und der

Bewerter ist dem ENSI zur Stellungnahme einzureichen.

9 Es ist eine hinsichtlich des Projektumfangs umfassende und aktuelle

Datenbank mit geologischen, seismologischen, geophysikalischen und geotechnischen Daten anzulegen.

Januar 2018 (Änderung 1. Oktober 2024) 27

10. Projektarbeiten, die hinsichtlich der Projektresultate oder der Nachvollziehbarkeit der PSHA von Bedeutung sind, sind im Rahmen klar strukturierter Workshops zu erarbeiten oder zu präsentieren. 11. Kritische Prozesse, welche einen direkten Einfluss auf die Projektresultate oder deren Reproduzierbarkeit haben, sind mit projektspezifischen Qualitätssicherungs-Prozeduren zu überwachen. Das Rechenprogramm für die Gefährdungsberechnung ist mit repräsentativen Testfällen zu verifizieren und zu validieren.

12 Im PSHA-Modell ist die Unsicherheit durchgängig, systematisch und

aufgeteilt in aleatorische und epistemische Beiträge zu erfassen. 13. Die Erdbebengefährdung ist für Erdbeben mit einer Momentenmagnitude M ≥ 4,5 zu ermitteln.

14 Die PSHA ist umfassend und nachvollziehbar zu dokumentieren. Der

Detaillierungsgrad der Dokumentation hat die Überprüfung, Anwendung und Aktualisierung der PSHA zu ermöglichen.

15 Nach Abschluss des PSHA-Projekts sind die PSHA-Datenbanken und

Computerprogramme weiterhin vorzuhalten und es ist sicherzustellen, dass die Daten und Resultate weiterhin bereitgestellt werden können. c. Die PSHA hat folgende Resultate zu liefern:

1 Bodenbeschleunigungsresultate in Form von Beschleunigungsantworten von Einmasseschwingern für Referenzfelsniveau (Rock-Outcrop-

Bedingungen), für das Fundamentniveau des Reaktorgebäudes und für die lokale Bodenoberfläche (jeweils für Freifeldbedingungen) 2. berechnetes geometrisches Mittel der beiden Horizontalkomponenten und die Vertikalkomponente der Bodenbeschleunigung

3 Gefährdungskurven für den Frequenzbereich von 0,5 Hz bis 50 Hz mit

adäquater Abbildung der Resonanzfrequenzen des Bodens und für die Spitzenbodenbeschleunigung (Peak Ground Acceleration, PGA), die näherungsweise als Beschleunigung bei 100 Hz gewählt werden kann

4 Gefährdung (Überschreitungshäufigkeit der Bodenbeschleunigung) für

einen Bereich von 0,01 g bis zu mindestens der Beschleunigung mit einer Überschreitungshäufigkeit von 10-7 pro Jahr 5. epistemische Unsicherheit (der Gefährdung) in Form von mindestens 25 auf Basis ähnlicher Charakteristiken (z. B. Steigung und Niveau) aggregierter und gewichteter Kurven Alternativ können mindestens 25 gleich gewichtete Kurven angegeben werden, welche auf statistischer Basis entwickelt wurden, wobei die

28 Januar 2018 (Änderung 1. Oktober 2024)

5 %-, 16 %-, 50 %-, 84 %- und 95 %-Fraktilkurven sowie die Mittelwertkurve auszuweisen sind.

6 Gefährdungsspektren für 5 % Dämpfung und jede Zehnerpotenz der

Überschreitungshäufigkeit im Bereich von 10-2 bis 10-7 pro Jahr

7 Dokumentation der direkten Resultate oder einer Hilfestellung, welche

die Bestimmung der Spitzenbodengeschwindigkeit (Peak Ground Velocity, PGV), der gemittelten spektralen Beschleunigung, der Spektren bei beliebiger Dämpfung sowie die Auswahl von Zeitverläufen erlaubt 8. hinsichtlich Magnitude, Entfernung und Epsilon (Anzahl Standardabweichungen) deaggregierte Horizontalkomponenten der Gefährdungsresultate

9 Dokumentation und Erläuterung der Gefährdungsbeiträge der seismischen Quellen, der Hauptbeiträge zur Unsicherheit, des Schätzwerts

für die maximal übertragbare Bodenbeschleunigung (in Abhängigkeit der Fundationskote) sowie des Vergleichs mit früheren Gefährdungsanalysen für schweizerische Kernkraftwerke

4.6.2.1.2 Fragility-Analyse

a. Für die Berechnung der Etagenantwortspektren gelten folgende Anforderungen:

1 Die Konsistenz sowohl der Bodeneigenschaften als auch der Fundament- und Freifeldbewegungen mit den Modellen und Ergebnissen der

Gefährdungsanalyse ist soweit möglich zu gewährleisten.

2 Es sind drei Komponenten der Bodenbewegung (zwei horizontale und

eine vertikale) mit zu den Gefährdungsresultaten konsistenter Korrelation zwischen den Komponenten zu verwenden. 3. Es ist ein Satz von Eingangszeitverläufen heranzuziehen, welcher konsistent mit den Gefährdungsresultaten, den Antwortspektren und realistischen Leistungsspektren ist und hinreichend umfangreich in Anzahl und Charakteristik, sodass die Variabilität abgebildet wird. 4. In der Analyse der Boden-Bauwerk-Wechselwirkung sind dehnungskompatible Bodeneigenschaften (z. B. Schubmodul und Dämpfung), relevante dynamische Eigenschaften und anwendbare phänomenologische Modelle für das Verhalten von Strukturelementen sowie vollständig dreidimensionale Antworten zu berücksichtigen, welche die Translations- und Rotationsschwingungen des Boden-Bauwerk-Systems wiedergeben.

Januar 2018 (Änderung 1. Oktober 2024) 29

5 Der Umfang der Parameter, für die keine Unsicherheiten berücksichtigt

werden, ist zu begründen.

6 Jede Skalierung von Etagenantwortspektren ist zu benennen und die

Angemessenheit der Skalierungsfaktoren zu begründen. b. Es ist die für die Fragility-Analyse relevante Information zu sammeln. Diese umfasst insbesondere:

1 PSA-Komponentenliste inkl. Standorte der Komponenten

2 Rohrleitungspläne

3. vorläufige Liste der Bauten und Komponenten, welche bei Erdbeben die Funktionsfähigkeit von PSA-Komponenten oder Rohrleitungen gefährden

4 Dokumentation zur seismischen Auslegung von Komponenten und

Bauten, welche Informationen zu Anordnung, Abmessungen, Materialkennwerten, Verankerung, Versagensmodi, Qualifikationstests und -resultaten enthält 5. generische Information zur seismischen Auslegung und zu seismischen Fragilities c. Eine umfassende und systematische Begehung der Anlage und der Umgebung entsprechend einer international akzeptierten Vorgehensweise ist durchzuführen, um 1. den Anlagenzustand zu erfassen und zu verifizieren, 2. die Übereinstimmung des realen Anlagenzustands mit den Auslegungsunterlagen zu überprüfen, 3. die Möglichkeiten für einen seismisch induzierten KMV und für ein seismisch induziertes Containmentversagen zu bewerten,

4 Komponenten und Bauten zu identifizieren, die im Falle eines Erdbebens PSA-Komponenten gefährden könnten (z. B. durch mechanische

Wechselwirkung oder durch seismisch ausgelöste Brände, Überflutungen oder Explosionen), 5. die dominanten Versagensmodi dieser Komponenten und Bauten zu untersuchen, 6. erfahrungsgemäss seismisch potenziell schwache Komponenten wie konventionelle Tanks, gemauerte Wände, Doppelböden, federgelagerte Komponenten und beschleunigungsanfällige Relais, elektrische Steckverbindungen und Schalter zu identifizieren,

30 Januar 2018 (Änderung 1. Oktober 2024)

7. Unregelmässigkeiten wie unsachgemäss installierte Komponenten, korrodierte Verankerungen und Verbindungen zu entdecken, 8. das seismische Housekeeping zu überprüfen und 9. die Datengrundlage für die Berechnung der Fragilites zu komplettieren. d. Basierend auf den Ergebnissen des Dokumentenstudiums und der Anlagenbegehung ist für jede relevante Komponente und jedes relevante Bauwerk die seismische Fragility für die direkten Auswirkungen der Bodenbeschleunigung zu bestimmen. Dabei ist das nachfolgend beschriebene Screening- Verfahren zu verwenden: 1. Es ist ein bestimmter Wert für die Bodenbeschleunigung als Screening-Schwelle zu wählen. Für Bodenbeschleunigungen oberhalb dieses Werts sind alle Komponenten und Strukturen als ausgefallen zu betrachten, d. h. es ist ein garantierter Kern- oder Brennstoffschaden anzunehmen. Der CDF- beziehungsweise FDF-Beitrag der Erdbeben oberhalb der Screening-Schwelle soll 10 % (der Erdbeben-CDF beziehungsweise FDF) möglichst nicht überschreiten.

2 Für Komponenten und Bauwerke mit einem seismischen HCLPF-Wert

grösser als die Screening-Schwelle kann im PSA-Modell auf eine explizite Abbildung des seismischen Versagens verzichtet werden, wenn das seismische Versagen nicht zu einem unmittelbaren Containmentbypass führt. Der HCLPF-Wert kann in diesem Fall auf der Basis einer konservativen Expertenschätzung erfolgen.

3 Für die übrigen Komponenten und Bauwerke sind realistische Fragility-

Parameter zu bestimmen, falls die Komponente oder das Bauwerk eine hohe Importanz bezüglich CDF beziehungsweise FDF aufweist oder ihr seismisches Versagen einen direkten Containmentbypass zur Folge hat. 4. Für die verbleibenden Komponenten und Bauwerke können konservative Fragility-Parameter auf der Basis von Expertenschätzungen ermittelt werden. e. Für sämtliche auf indirekte Bodenbeschleunigungseffekte anfällige Komponenten und Bauwerke sind die Fragility-Parameter wie folgt zu bestimmen:

1 Bei mechanischen Wechselwirkungen sind die Wahrscheinlichkeit der

Wechselwirkung sowie die bedingte Versagenswahrscheinlichkeit der betrachteten Komponente oder Struktur in Abhängigkeit von der Bodenbeschleunigung zu berechnen.

2 Die bedingte Versagenswahrscheinlichkeit aufgrund seismisch induzierter Brände, Explosionen und Überflutungen ist in Abhängigkeit von

Januar 2018 (Änderung 1. Oktober 2024) 31

der Bodenbeschleunigung zu ermitteln oder es ist garantiertes Versagen anzunehmen. f. Es ist eine umfassende seismische Komponentenliste mit folgenden Angaben zu erstellen:

1 Bezeichnung der Komponente

2 Standort

3 Versagensmodi

4 Fragility-Parameter

5. HCLPF 6. vom Versagen betroffene Komponenten, deren Versagensmodi und bedingte Versagenswahrscheinlichkeiten 7. angewendetes Screening-Verfahren

8 Verweis auf die zugrunde liegende Fragility-Analyse

g. Für das externe Stromnetz und das gegebenenfalls vorhandene Wasserkraftwerk sind realistische Fragility-Parameter zu ermitteln. h. Ein durch seismisch bedingte Brüche von Messleitungen am Reaktorkühlsystem verursachter sehr kleiner KMV ist zu unterstellen. Die äquivalente Leckgrösse ist insbesondere auf Basis der bei der Anlagenbegehung gesammelten Information zu bestimmen. i. In der Nichtleistungs-PSA sind die Unterschiede zur Leistungs-PSA bezüglich möglicher mechanischer Wechselwirkungen und der Randbedingungen für Brände und Überflutungen zu berücksichtigen. Die für den Nichtleistungsbetrieb charakteristischen Merkmale hinsichtlich des Erdbebenrisikos sind anhand der Revisionsplanungen und -aktivitäten sowie durch Befragung von Anlagenpersonal zu ermitteln.

4.6.2.1.3 Analyse der seismischen Unfallsequenzen

a. Die durch seismische Bodenbeschleunigungen ausgelösten Unfallsequenzen sind umfassend zu modellieren und das entsprechende Risiko ist zu quantifizieren. b. Auslösende Ereignisse sind wie folgt zu definieren:

1 Der Beschleunigungsbereich zwischen dem niedrigsten HCLPF-Wert

einer modellierten Komponente oder eines Bauwerks und der Screening-Schwelle ist mit mindestens sieben diskreten auslösenden Ereignissen abzubilden.

32 Januar 2018 (Änderung 1. Oktober 2024)

2 Für den Bereich oberhalb der Screening-Schwelle ist ein auslösendes

Ereignis festzulegen. c. Die auslösenden Ereignisse sowie die seismischen Ausfallwahrscheinlichkeiten von Komponenten und Bauwerken (aus der Fragility-Analyse) sind wie folgt im PSA-Modell abzubilden:

1 Für das auslösende Ereignis, welches den Bereich oberhalb der

Screening-Schwelle repräsentiert, ist garantierter Kern- oder Brennstoffschaden anzunehmen. 2. Die im PSA-Modell für interne Ereignisse verwendeten Wahrscheinlichkeiten für menschliche Fehlhandlungen sind zu überprüfen und entsprechend den Anforderungen im Kap. 4.3.3 anzupassen.

3 Im PSA-Modell sind die seismisch verursachten Ausfälle für alle in der

Fragility-Analyse identifizierten und dort nicht ausgeklammerten Komponenten und Bauwerke explizit abzubilden.

4 Direktes und indirektes Versagen einer Komponente sind explizit zu

modellieren. d. Bei der Quantifizierung der Erdbeben-CDF beziehungsweise -FDF sind die Unsicherheiten bei den auslösenden Ereignissen, den Ausfallwahrscheinlichkeiten von Komponenten und Bauwerken sowie bei den Wahrscheinlichkeiten für fehlerhafte Personalhandlungen zu berücksichtigen. Korrelationen zwischen den seismischen Ausfällen sind zu identifizieren und bei der Unsicherheitsanalyse zu berücksichtigen.

4.6.2.2 Weitere seismische Gefährdungen

Neben der direkten Einwirkung der seismischen Bodenbeschleunigung auf die Anlage (vgl. Kap. 4.6.2.1) sind weitere seismische Gefährdungen wie verwerfungsbedingte Versetzungen, Erdrutsche, Bodenverflüssigung oder -setzung sowie seismisch ausgelöste Industrieunfälle und Dammbrüche zu identifizieren und zu diskutieren. Ferner ist zu untersuchen, inwieweit diese weiteren Gefährdungen im PSA-Modell abzubilden sind.

4.6.3 Extreme Winde

a. Es sind umfassende und aktuelle Daten zu Windereignissen und Windspitzengeschwindigkeiten in der Region der Anlage zu erfassen. Hierzu gehören insbesondere folgende Angaben: 1. für mehrere qualitätsgesicherte, zertifizierte Messstationen in der Region der Anlage: gemessene Windböengeschwindigkeiten (Kurzzeitmesswerte)

2 Langzeitmesswerte von mindestens einer weiteren Messstation

Januar 2018 (Änderung 1. Oktober 2024) 33

3 Daten zu historischen Windereignissen ausserhalb des Messzeitraums für Kurzzeit- und Langzeitmesswerte

4 Daten zu Windfeldern (Karten der Sturmgefährdung) in der Schweiz

b. Die für den Standort anzuwendenden Geschwindigkeitswerte sind insbesondere aus den Kurzzeitmesswerten in der Region der Anlage sowie aus den Langzeitmesswerten einer weiteren Messstation abzuleiten. c. Zur Umrechnung von auf verschiedene Höhen gemessenen Windgeschwindigkeiten ist die Formel von Thom zu verwenden: mit: n Konstante für die Oberflächenrauigkeit d. Eine standortspezifische Windgefährdungskurve (jährliche Überschreitungshäufigkeit maximaler Windböengeschwindigkeiten) ist mittels einer extremwertstatistischen Auswertung der verfügbaren Messdaten zu entwickeln. Dabei ist der Mittelwert der Gefährdung auszuweisen. Für die Quantifizierung der Unsicherheiten sind anerkannte Methoden wie Bootstrapping anzuwenden. e. Die ermittelte Windgefährdungskurve ist zu plausibilisieren. Zumindest auf qualitativer Basis sind die Ergebnisse anhand historischer Windereignisse und Karten der Sturmgefährdung in der Schweiz zu plausibilisieren. f. Es ist eine Anlagenbegehung durchzuführen, bei welcher die durch Windeinflüsse gefährdeten Komponenten und Strukturen identifiziert werden (z. B. Fenster, Abgaskamine der Notstromdieselanlagen, Lufteinlässe). Ferner sind Gegenstände zu identifizieren, die vom Wind mitgerissen und als Geschosse zu Schäden an der Anlage führen können. g. Für die relevanten Komponenten und Strukturen sind realistische Wind-Fragilities inklusive deren Unsicherheiten zu bestimmen. h. Der Lastfall „extremer Wind“ ist im PSA-Modell durch eine adäquate Anzahl von auslösenden Ereignissen zu quantifizieren und darzustellen. i. Bei der Modellierung des Lastfalls „extremer Wind“ ist ein Verlust der externen Stromversorgung anzunehmen oder eine Versagenswahrscheinlichkeit auf Basis einer Fragility-Analyse zu bestimmen. j. Bei 1-Sekunde-Windböengeschwindigkeiten grösser als 180 km/h ist ein Versagen von Glasfenstern zu unterstellen. Der hiermit für das betrachtete

34 Januar 2018 (Änderung 1. Oktober 2024)

Gebäude oder den betrachteten Raum verbundene Schaden (d. h. Eindringen von Wasser, Druckaufbau) ist im PSA-Modell zu berücksichtigen. k. Bei windinduziertem Ausfall eines Gebäudes ist der Ausfall aller Komponenten im Gebäude zu unterstellen. l. Zusätzlich zu den direkten Windeffekten sind die indirekten Auswirkungen wie Schäden durch mitgerissene Gegenstände und Strömungsbeschleunigungen zwischen Gebäuden (Channelling Effects) zu identifizieren und hinsichtlich ihrer Konsequenzen zu diskutieren. Die unterschiedlichen Gegebenheiten im Leistungs- und im Nichtleistungsbetrieb sind dabei zu berücksichtigen.

4.6.4 Tornados

a. Für die verschiedenen Tornadoklassen auf der erweiterten Fujita-Skala (EF- Skala) sind die Windböengeschwindigkeiten und die mittleren Eintrittshäufigkeiten pro Jahr und km2 entsprechend Anhang 7, Tabelle A7-1 anzunehmen. b. Für den Schadenszug von Tornados sind die mittleren Abmessungen entsprechend Anhang 7, Tabelle A7-2 anzunehmen. c. Auf Basis der Tornado-Eintrittshäufigkeiten (vgl. Anhang 7, Tabelle A7-1) und der Abmessungen des Schadenszuges (vgl. Anhang 7, Tabelle A7-2) sind jährliche Tornado-Auftreffenshäufigkeiten am Anlagenstandort für die verschiedenen Tornadostärken zu bestimmen. Dabei sind die Unsicherheiten zu berücksichtigen. d. Eine Tornado-Gefährdungskurve (jährliche Überschreitungs-Auftreffenshäufigkeit maximaler Windböengeschwindigkeiten) ist für den Mittelwert und folgende Quantile (5 %-, 50 %-, 95 %-Fraktile) auf Basis der Windböengeschwindigkeiten in der erweiterten Fujita-Skala (vgl. Anhang 7, Tabelle A7- 1) zu entwickeln. e. Es ist eine Anlagenbegehung durchzuführen, bei welcher die durch Tornadoeinflüsse gefährdeten Komponenten und Strukturen identifiziert werden (z. B. Fenster, Abgaskamine der Notstromdieselanlagen, Lufteinlässe). Ferner sind Gegenstände zu identifizieren, die vom Wind mitgerissen werden und als Geschosse zu Schäden an der Anlage führen können. f. Für die relevanten Komponenten und Strukturen sind realistische Tornado- Fragilities inklusive Unsicherheiten zu bestimmen. g. Der Lastfall „Tornado“ ist im PSA-Modell durch eine adäquate Anzahl von auslösenden Ereignissen zu quantifizieren und darzustellen.

Januar 2018 (Änderung 1. Oktober 2024) 35

h. Bei der Modellierung des Lastfalls „Tornado“ ist ein Verlust der externen Stromversorgung anzunehmen oder eine Versagenswahrscheinlichkeit auf Basis einer Fragility-Analyse zu bestimmen. i. Bei der Modellierung des Lastfalls „Tornado“ ist ein Versagen von Glasfenstern zu unterstellen. Der hiermit für das betrachtete Gebäude oder den betrachteten Raum verbundene Schaden (d. h. Eindringen von Wasser, Druckaufbau) ist im PSA-Modell zu berücksichtigen. j. Bei tornadoinduziertem Ausfall eines Gebäudes ist der Ausfall aller Komponenten im Gebäude zu unterstellen. k. Zusätzlich zu den direkten Tornadoeffekten (z. B. Einsturz von Gebäuden) sind die indirekten Auswirkungen (wie Beschädigungen durch vom Wind mitgerissene Objekte) zu identifizieren und hinsichtlich ihrer Konsequenzen zu diskutieren. Die unterschiedlichen Gegebenheiten im Leistungs- und im Nichtleistungsbetrieb sind dabei zu berücksichtigen.

4.6.5 Externe Überflutung

a. Folgende Kategorien von Überflutungsereignissen sind in der PSA zu berücksichtigen: 1. starke Niederschläge oder Schneeschmelze, die zu einem hohen Flusswasserpegel am Anlagenstandort führen

2 Versagen wasserbaulicher Einrichtungen (z. B. Dämme oder Wehre)

ober- oder unterhalb des Anlagenstandorts Dabei ist auch ein Dominoversagen oder gleichzeitiges Versagen (z. B. aufgrund von Erdbeben) zu berücksichtigen. 3. starke Niederschläge im Bereich des Anlagenstandorts b. Es ist eine Anlagenbegehung durchzuführen, bei welcher folgende Punkte untersucht werden:

1 Abflussmöglichkeiten auf dem Anlagenareal (Drainagen, Neigung des

Areals) 2. lokale wasserbauliche Einrichtungen mit ihren Betriebs- und Wartungsvorschriften

3 Pfade, über welche Wasser in die Anlage eindringen kann

4. durch Überflutung gefährdete Komponenten und Strukturen 5. die Möglichkeit schwerer Dachlasten durch Wasser (d. h. Untersuchung der Dächer, Wasserabläufe und entsprechender Wartungsvorschriften)

36 Januar 2018 (Änderung 1. Oktober 2024)

6. lokale Merkmale, die zu einer Verschlimmerung der Überflutungsauswirkungen beitragen können (z. B. Verstopfung von Abflüssen und Aufstauung eines Flusses durch Hangabrutschungen oder Verklausungen) c. Basierend auf den für den Standort relevanten Abflussdaten ist eine Hochwassergefährdungskurve (jährliche Überschreitungshäufigkeit maximaler Abflüsse) zu entwickeln. Erkenntnisse zu historischen Hochwasserereignissen sind entweder bei der Ableitung der Hochwassergefährdungskurve oder zu deren Plausibilisierung heranzuziehen. d. Zur Bestimmung des Wasserstandes an kritischen Bauwerken oder Strukturen sind unter Beachtung lokaler topografischer und hydrologischer Besonderheiten 2D-Überflutungsberechnungen mit Feststofftransport durchzuführen. Insbesondere sind verklausungsgefährdete Engstellen des Flusses, deren Rückstau oder Aufbrechen einen relevanten Einfluss auf den Wasserstand am Standort des Kernkraftwerks haben können, zu identifizieren. Die Verklausungswahrscheinlichkeiten sind bei der Bestimmung der Häufigkeit des Überschreitens von kritischen Wasserständen zu berücksichtigen. Desgleichen sind wasserbauliche Einrichtungen, deren Fehlfunktion einen relevanten Einfluss auf den Wasserstand am Standort des Kernkraftwerks haben kann, zu identifizieren und die Wahrscheinlichkeit einer Fehlfunktion bei der Bestimmung der Häufigkeit des Überschreitens von kritischen Wasserständen zu berücksichtigen. e. Die Versagenshäufigkeit und Versagenskonsequenzen wasserbaulicher Einrichtungen sind bauartspezifisch zu bestimmen. f. Falls auf eine detaillierte Untersuchung nach Bst. e verzichtet wird, ist für die mittlere Versagenshäufigkeit eines Staudammes oder eines Wehrs ein Wert von 6,4·10-5 pro Jahr (Lognormalverteilung mit einem Error-Faktor 10) anzunehmen. Für die Versagenskonsequenz gilt dann:

1 Verlust von 100 % des Wasserinventars in 10 % der Versagensfälle

2 Verlust von 50 % des Wasserinventars in 80 % der Versagensfälle

3 Verlust von 20 % des Wasserinventars in 10 % der Versagensfälle

g. Die Gefährdung durch starke Niederschläge im Bereich des Anlagenstandorts kann in der PSA vernachlässigt werden, wenn die hiermit verbundenen Schädigungsmechanismen (z. B. schwere Dachlasten, elektrische Kurzschlüsse, Wassereinbruch in Räume) entweder ausgeschlossen werden können oder nicht zu einem auslösenden Ereignis führen. Andernfalls ist die Häufigkeit eines entsprechenden auslösenden Ereignisses zu bestimmen.

Januar 2018 (Änderung 1. Oktober 2024) 37

h. Massnahmen, welche der Bekämpfung der Überflutung dienen (z. B. das Öffnen eines Wehrs) sind nur dann zu kreditieren, wenn eine ausreichende Vorwarnzeit zur Verfügung steht. i. Das Verhalten relevanter Strukturen bei Einwirkung hydrostatischer und -dynamischer Lasten (einschliesslich akuter Erosion und Einfluss von Geschiebe) ist zu analysieren. Bei Versagen eines ganzen Gebäudes ist der Ausfall aller im Gebäude befindlichen Komponenten zu unterstellen. Bei Teilversagen eines Gebäudes oder bei Wassereinbruch in ein Gebäude sind der Ausbreitungspfad des Wassers sowie die beschädigten PSA-Komponenten zu bestimmen. j. Ein Verstopfen der Wasserfassungen durch Schlamm und Sedimente ist zu berücksichtigen. k. Bei Überflutungsereignissen, welche zu einem Wasserstand oberhalb des Arealniveaus oder des Niveaus der Blocktransformatoren führen, ist ein Verlust der externen Stromversorgung zu unterstellen. l. Die Gefährdung durch Dominoversagen oder gleichzeitiges Versagen wasserbaulicher Einrichtungen kann vernachlässigt werden, wenn eine quantitative Abschätzung zeigt, dass die Summe der CDF- beziehungsweise FDF- Beiträge solcher Ereignisse unterhalb 10-9 pro Jahr liegt. m. Jede nicht vernachlässigbare Kategorie von Überflutungsereignissen ist separat im PSA-Modell abzubilden und das entsprechende Risiko ist zu quantifizieren.

4.6.6 Flugzeugabsturz

Folgende drei Flugzeugkategorien sind in der PSA zu berücksichtigen: a. Verkehrsflugzeuge (Masse > 5 700 kg) b. strahlgetriebene Kampfflugzeuge c. Leichtflugzeuge (Masse < 5 700 kg) und Hubschrauber

4.6.6.1 Verkehrsflugzeuge

Die Risikobeiträge folgender auslösender Ereignisse sind zu quantifizieren: a. Absturz eines Verkehrsflugzeugs auf das Reaktorgebäude b. Absturz eines Verkehrsflugzeugs auf das Notstandsgebäude c. Absturz eines Verkehrsflugzeugs auf andere Gebäude (falls relevant) d. Absturz eines Verkehrsflugzeugs auf das restliche Anlagenareal

38 Januar 2018 (Änderung 1. Oktober 2024)

4.6.6.1.1 Ermittlung der Absturzhäufigkeit

a. Absturzhäufigkeiten sind mit der nachfolgenden Vier-Faktor-Formel zu berechnen:

F = ∑ N i , j ⋅ Ci ⋅ρ i , j ⋅ Avirt i, j

mit: F jährliche Häufigkeit eines Verkehrsflugzeugabsturzes auf ein bestimmtes Ziel Ni,j Anzahl jährlicher Flugbewegungen am Standort für die Indices i, j Ci Absturzrate pro Flugbewegung in Flughafennähe oder pro km bei Transitflügen ρi,j bedingte Absturzdichte in der Nähe eines Flughafens pro km2 oder pro Flugkilometer bei einem Transitflug Avirt virtuelle Trefferfläche (für ein bestimmtes Gebäude oder das Anlagenareal) i Index für die Flugphase j Index für den Flughafen oder den Luftkorridor

b. Abhängig vom Standort sind bei der Ermittlung der Absturzhäufigkeit von Verkehrsflugzeugen die folgenden Flugphasen zu unterscheiden:

1 Flugbewegung in der Nähe des Flughafens (d. h. Start und Landung)

2 Transitflug

c. Die Anzahl jährlicher Flugbewegungen am Standort (Ni,j) ist unter Berücksichtigung der Schwankungen in der Vergangenheit sowie der erwarteten zukünftigen Schwankungen zu ermitteln. d. Alle Flughäfen innerhalb eines Radius von 50 km um den Anlagenstandort sind bei der Analyse zu berücksichtigen. e. Für die Absturzrate in Flughafennähe ist zwischen Abflügen und Anflügen zu unterscheiden. Für Abflüge ist eine Lognormalverteilung mit einem Mittelwert von C = 9,4·10-8 und einem Error-Faktor von 3 anzunehmen. Für Anflüge ist eine Lognormalverteilung mit einem Mittelwert von C = 4,7·10-7 und einem Error-Faktor von 3 anzunehmen. f. Die bedingte Absturzdichte pro Fläche in Flughafennähe ρAV,j ist wie folgt zu ermitteln: mit: g Gleitzahl (g = 17) hj mittlere Flughöhe in Flughafennähe

Januar 2018 (Änderung 1. Oktober 2024) 39

g. Bei der Berechnung der jährlichen Transitflugbewegungen N sind alle Luftkorridore in einem Radius von 100 km um den Anlagenstandort zu berücksichtigen. Für jeden relevanten Luftkorridor j sind dabei NT,j (Anzahl Flugbewegung in der Flugphase Transit vom Luftkorridor j) und ρT,j separat zu ermitteln oder es sind abdeckende Zusammenfassungen von Luftkorridoren zu treffen. h. Für die Absturzrate im Transitflug ist eine Lognormalverteilung mit einem Mittelwert von C = 3,4·10-11 (pro Flugkilometer) und einem Error-Faktor von 3 anzunehmen. i. Die bedingte Absturzdichte pro Flugstrecke im Transitflug ρT,j ist wie folgt zu berechnen: 𝑑𝑑𝑗𝑗 𝜌𝜌𝑇𝑇,𝑗𝑗 = [km-1 ] 𝐴𝐴𝑗𝑗 mit:

𝑑𝑑𝑗𝑗 = 2 ∙ 𝑔𝑔2 ℎ2𝑗𝑗 − 𝑏𝑏2𝑗𝑗

𝐴𝐴𝑗𝑗 = 𝜋𝜋𝑔𝑔2 ℎ2𝑗𝑗 wobei: j Index für den Luftkorridor dj Flugstrecke im Korridor j, bei der das Flugzeug den Standort gleitend (d. h. mit ausgefallenen Triebwerken) erreichen kann Aj Trefferfläche für Flugzeuge aus dem Korridor j g Gleitzahl (g = 17) hj mittlere Flughöhe im Luftkorridor j bj Horizontalkomponente des Minimalabstandes zwischen dem Korridor j und dem Kernkraftwerk

j. Die virtuelle Trefferfläche eines Gebäudes Avirt, building ist zu mitteln über die virtuellen Flächen, die sich aus vier senkrecht zueinander stehenden Anflugrichtungen ergeben:

1 𝐴𝐴𝑓𝑓𝑓𝑓,𝑘𝑘

𝐴𝐴virt, building = 𝑓𝑓𝑘𝑘 𝐴𝐴𝑔𝑔𝑔𝑔 + 4 tan 𝜑𝜑𝑘𝑘

mit: Agr Grundfläche des Gebäudes = (Länge des Gebäudes + 1/2 äusserer Abstand der Flugzeugtriebwerke) × (Breite des Gebäudes + äusserer Abstand der Flugzeugtriebwerke); äusserer Abstand der Flugzeugtriebwerke: 25 m für Verkehrsflugzeuge, 4 m für Militärflugzeuge

40 Januar 2018 (Änderung 1. Oktober 2024)

Afr, k Frontfläche des Gebäudes für die Anflugrichtung k = (Breite des Gebäudes + äusserer Abstand der Flugzeugtriebwerke) × Höhe des Gebäudes k Anflugrichtung des Flugzeugs φk Absturzwinkel (Annahme: 30°) fk topografischer Abschirmungsfaktor (Wenn der durch die natürliche Topografie im Bereich der Anlage gegebene Anflugwinkel grösser als 10° ist, kann angenommen werden, dass fk = 1/√3, ansonsten fk = 1.) Bei der Berechnung der virtuellen Trefferfläche eines Gebäudes kann die abschirmende Wirkung benachbarter Gebäude berücksichtigt werden. Dabei sind der Absturzwinkel φk sowie die realen Abmessungen der schützenden Gebäude zu beachten. Runde Gebäude sind wie umhüllende rechteckige Gebäude zu behandeln. k. Die virtuelle Trefferfläche für das restliche Anlagenareal Avirt plant area wird berechnet aus:

𝐴𝐴virt, plant area = 𝐴𝐴site − 𝐴𝐴virt, building, m 𝑚𝑚

mit: Asite Kreisfläche um das Reaktorgebäude mit einem Radius r = 100 m m Index für das Gebäude

4.6.6.1.2 Direkte Auswirkungen eines Flugzeugabsturzes (mechanische Auswirkungen)

a. Für das Reaktorgebäude und das Notstandsgebäude sind bedingte Versagenswahrscheinlichkeiten (bei Absturz auf die Gebäude) zu bestimmen, wobei die Variabilität des Flugzeugtyps (d. h. Abmessungen, Masse, etc.) sowie der Anfluggeschwindigkeit zu berücksichtigen sind. Lokale (d. h. Durchschlagen der Wand) wie globale (Kippen, Verschiebung) Schäden an den Gebäuden sind zu betrachten. b. Die Auswirkungen der absturzinduzierten Erschütterungen und Beschleunigungen von Komponenten im Reaktor- und Notstandsgebäude sind zu untersuchen. c. Bei Absturzszenarien, die zu einem Durchschlagen der Gebäudewand führen, ist entweder das Versagen aller Komponenten im Gebäude zu unterstellen oder die Annahmen zum Schadensbild aufgrund von Trümmern, internen Bränden, internen Überflutungen sowie weiteren Folgeeffekten sind aufgrund von detaillierten Analysen zu belegen. d. Wird für ein Gebäude keine bedingte Versagenswahrscheinlichkeit ermittelt, ist im Falle eines Absturzes auf dieses Gebäude im PSA-Modell der Ausfall

Januar 2018 (Änderung 1. Oktober 2024) 41

der gesamten Ausrüstung im Gebäude zu unterstellen. Ferner sind keine Handlungen von im Gebäude befindlichem Personal zu kreditieren.

4.6.6.1.3 Indirekte Auswirkungen eines Flugzeugabsturzes (Trümmer, Brand-und Explosionseffekte)

a. Die Auswirkungen von Trümmern, Bränden und Explosionen auf das Gelände und Gebäude sind zu analysieren. Für die betroffenen Gebäude sind bedingte Versagenswahrscheinlichkeiten zu ermitteln, wobei die Variabilität des Flugzeugtyps zu beachten ist. b. Bei Gebäuden, die gegen Trümmereinwirkung ausgelegt sind, sind lediglich die Brandauswirkungen zu analysieren. Dabei sind mögliche Brand- und Explosionsquellen (z. B. Flugtreibstoff oder Gas- und Öllager auf dem Anlagenareal), Ausbreitungspfade für heisses Rauchgas (z. B. Lufteinlässe von Notstromdieselanlagen) und Ausbreitungspfade für Flugtreibstoff im Bereich der Anlage zu berücksichtigen. c. Wenn aufgrund der Ergebnisse einer entsprechenden Analyse anzunehmen ist, dass ein Gebäude unzureichend gegen die indirekten Auswirkungen eines Flugzeugabsturzes geschützt ist, ist der Ausfall aller Komponenten im Gebäude zu unterstellen. d. Es ist anzunehmen, dass alle Komponenten ausfallen, welche sich ausserhalb von Gebäuden befinden. Insbesondere ist ein Verlust der externen Stromversorgung zu unterstellen.

4.6.6.2 Strahlgetriebene Kampfflugzeuge

a. Die CDF- beziehungsweise FDF-Beiträge folgender auslösender Ereignisse sind zu quantifizieren:

1 Absturz eines Kampflugzeugs auf das Reaktorgebäude

2 Absturz eines Kampflugzeugs auf das Notstandsgebäude

b. Die jährliche Absturzhäufigkeit von Kampflugzeugen pro Fläche ist direkt aus der Statistik der Absturzereignisse in der Schweiz zu berechnen. Dabei ist mindestens der Zeitraum der vergangenen 20 Jahre auszuwerten. Die Unsicherheit für die Absturzhäufigkeit kann als lognormalverteilt angenommen werden, wobei Mittelwert und Standardabweichung aus den Absturzdaten zu berechnen sind. c. Die Auswirkungen eines Kampflugzeugabsturzes sind analog denjenigen eines Verkehrsflugzeugabsturzes zu ermitteln.

42 Januar 2018 (Änderung 1. Oktober 2024)

4.6.6.3 Leichtflugzeuge und Hubschrauber

a. Für Abstürze von Leichtflugzeugen und Hubschraubern auf nicht gegen Trümmereinwirkung ausgelegte Gebäude ist der CDF- beziehungsweise FDF-Beitrag zu ermitteln. b. Die jährliche Absturzhäufigkeit pro Fläche ist direkt aus den Absturzereignissen in der Schweiz zu berechnen. Dabei sind mindestens die Ereignisse der vergangenen fünf Jahre auszuwerten. Die Unsicherheit für die Absturzhäufigkeit kann als lognormalverteilt angenommen werden, wobei Mittelwert und Standardabweichung aus den Absturzdaten zu berechnen sind. c. Bei einem Absturz auf ein nicht gegen Trümmereinwirkung ausgelegtes Gebäude ist der garantierte Ausfall aller im Gebäude befindlichen Systeme zu unterstellen. d. Das Anlagenrisiko aufgrund von Leichtflugzeugabstürzen kann vernachlässigt werden, wenn der CDF- beziehungsweise FDF-Beitrag nach konservativer Abschätzung unterhalb 10-9 pro Jahr liegt.

4.6.7 Andere externe Ereignisse

a. Für jedes in Kap. 4.6.1 aufgeführte externe Ereignis, welches nicht auf Basis der dort genannten Kriterien vernachlässigt werden kann, sind die CDF- beziehungsweise FDF-Beiträge inklusive Unsicherheiten zu ermitteln. b. Die Analyse muss folgende Elemente umfassen:

1 Zusammenstellung der relevanten Information

2. bei Bedarf eine Anlagenbegehung

3 Identifizierung der möglichen Ereignisszenarien

4 Berechnung der bedingten Ausfallwahrscheinlichkeiten (Fragilities)

von Komponenten und Strukturen und der Wahrscheinlichkeiten fehlgeschlagener Personalhandlungen c. Das Ereignis ist im PSA-Modell zu implementieren.

4.7 Quantifizierung und Stufe-1-PSA-Ergebnisse

4.7.1 Quantifizierung

a. Für die Bestimmung der PSA-Ergebnisse ist ein anerkannter Computercode einzusetzen. Grenzen des verwendeten Computercodes und der Quantifizierungsmethode (wie z. B. die Nicht-Berücksichtigung von Erfolgswahrscheinlichkeiten im Ereignisbaum) sind zu diskutieren.

Januar 2018 (Änderung 1. Oktober 2024) 43

b. Der bei der Quantifizierung gewählte Abschneidewert ist auf Basis einer Sensitivitätsanalyse zu begründen. Alternativ kann unter konservativen Randbedingungen gezeigt werden, dass der Beitrag der durch Abschneidung nicht berücksichtigten Ausfallkombinationen gering ist (d. h. kleiner als 1 % der CDF beziehungsweise FDF). c. Das gesamte Spektrum auslösender Ereignisse (d. h. interne sowie interne systemübergreifende und externe) ist innerhalb eines einzigen PSA-Modells abzubilden und zu quantifizieren. d. Ausfallkombinationen, welche sich gegenseitig ausschliessende Basisereignisse (Split Fractions) enthalten, sind zu identifizieren und zu eliminieren. e. Bei der Quantifizierung des PSA-Modells sind sämtliche Unsicherheiten von auslösenden Ereignissen und Basisereignissen zu berücksichtigen. f. Im Rahmen der Unsicherheitsanalyse sind Korrelationseffekte zu berücksichtigen. g. Die wichtigsten zum Kern- oder Brennstoffschaden führenden Ausfallkombinationen sind auf Plausibilität zu überprüfen.

4.7.2 Darstellung der Stufe-1-PSA-Resultate

4.7.2.1 Risikoprofil

a. Die CDF- beziehungsweise FDF-Beiträge der verschiedenen Ereigniskategorien von auslösenden Ereignissen sind in der PSA-Dokumentation auszuweisen (vgl. Anhang 8, Tabelle A8-1). b. Die CDF- oder FDF-Beiträge aller modellierten auslösenden Ereignisse sind in der PSA-Dokumentation auszuweisen (vgl. Anhang 8, Tabelle A8-2). c. Die FDF-Beiträge aller Betriebszustände bei Nichtleistungsbetrieb sind in der PSA-Dokumentation auszuweisen (vgl. Anhang 8, Tabelle A8-3). d. Zusätzlich zu den oben aufgeführten Resultaten ist der CDF-Beitrag von ATWS-Sequenzen explizit auszuweisen.

4.7.2.2 Importanzanalyse

a. Für Leistungsbetrieb und Nichtleistungsbetrieb sind die 1 000 wichtigsten Basisereignisse (Sortierung nach Fussell-Vesely-Importanz FV und Risk Achievement Worth RAW) auszuweisen (vgl. Anhang 8, Tabelle A8-4). b. Für Leistungsbetrieb und Nichtleistungsbetrieb sind die wichtigsten Komponenten (Sortierung nach FV und RAW) in der PSA-Dokumentation auszu-

44 Januar 2018 (Änderung 1. Oktober 2024)

weisen. Dabei sind alle Komponenten zu berücksichtigen, die gemäss Richtlinie ENSI-A06, Kap. 6.5 Bst. a eine sicherheitstechnische Bedeutung haben (vgl. Anhang 8, Tabelle A8-5). c. Für Leistungsbetrieb und Nichtleistungsbetrieb sind die 30 wichtigsten Personalhandlungen (Sortierung nach FV und RAW) in der PSA-Dokumentation auszuweisen (vgl. Anhang 8, Tabelle A8-6). d. Für Leistungsbetrieb und Nichtleistungsbetrieb sind die FV- und RAW-Importanzen aller in der PSA modellierten Systeme in der PSA-Dokumentation auszuweisen (vgl. Anhang 8, Tabelle A8-7). e. Für Leistungsbetrieb und Nichtleistungsbetrieb ist soweit möglich eine Liste der zirka 10 000 wichtigsten Ausfallkombinationen auszuweisen (vgl. Anhang 8, Tabelle A8-8). f. Für Leistungsbetrieb und Nichtleistungsbetrieb ist in der PSA-Dokumentation eine Liste der 30 wichtigsten Kernschadensequenzen auszuweisen (vgl. Anhang 8, Tabelle A8-9).

4.7.2.3 Erkenntnisse

a. Werden im Rahmen der Entwicklung der PSA der Stufe 1 mögliche Anlagenverbesserungen (Nachrüstungen) oder Verbesserungen an den schriftlichen Anweisungen identifiziert, sind diese Verbesserungspotenziale zu bewerten und zu dokumentieren. b. Es ist zu untersuchen, ob einzelne Komponentengruppen eine im internationalen Vergleich hohe Ausfallrate aufweisen. Die Gründe für die hohe Ausfallrate sind zu evaluieren. Dasselbe gilt für auslösende Ereignisse mit vergleichsweise grossen Häufigkeiten. c. Es ist zu untersuchen, ob die Komponentenzuverlässigkeiten sowie die Häufigkeiten für auslösende Ereignisse einen Trend aufweisen. d. Die Erkenntnisse aus der vorherigen PSA sind mit denjenigen der aufdatierten PSA zu vergleichen und Unterschiede sind zu diskutieren.

5 Technische Anforderungen an eine Stufe-2-PSA für

Kernkraftwerke

5.1 Definition und Quantifizierung der Kernschadenszustände

a. Unfallsequenzen der Stufe-1-PSA, welche zu einem ähnlichen Schwerunfallverlauf führen, sind in Form von Kernschadenszuständen (Plant Damage

Januar 2018 (Änderung 1. Oktober 2024) 45

States, PDS) zu gruppieren. Diese Kernschadenszustände sind durch mindestens folgende Merkmale zu charakterisieren:

1 Typ des auslösenden Ereignisses (z. B. Transiente oder KMV)

Dieses Merkmal entfällt bei einem integrierten PSA-Modell.

2 RDB-Druck zum Zeitpunkt des Kern- oder Brennstoffschadens (Kern

im RDB)

3 Status der Sicherheitssysteme

4 Status Containmentabschluss

Die Verfügbarkeit von Systemen für den Containmentabschluss ist explizit mittels Fehlerbäumen zu modellieren.

5 Bypasssequenz (z. B. Dampferzeuger-Heizrohrbruch oder KMV an einer Schnittstelle zwischen Hochdruck- und Niederdrucksystemen)

6 Status der Containmentsysteme zur Wärmeabfuhr oder Druckabsenkung und zur Reduktion der Spaltprodukte

Die Verfügbarkeit zur Wärmeabfuhr aus dem Containment (welche im Rahmen der Stufe-2-PSA kreditiert werden) ist explizit mittels Fehlerbäumen zu modellieren. b. Zur Gruppierung der Schadenszustände aus der Nichtleistungs-PSA sind – je nach Stillstandsphase – zusätzliche Merkmale zu definieren, zum Beispiel Ort des Brennstoffs und Zustand des RDB (geschlossen oder geöffnet). c. Es ist zulässig, die Anzahl der Kernschadenszustände durch weiteres Gruppieren oder durch Vernachlässigung zu reduzieren. Der insgesamt vernachlässigte Anteil darf maximal 1 % der CDF beziehungsweise der FDF betragen. Eine Vernachlässigung von PDS mit typischerweise grossem Freisetzungspotenzial (z. B. Containment-Bypass oder ATWS) ist hingegen nicht zulässig. d. Die Unsicherheitsverteilungen der PDS-Häufigkeiten sind mit dem Stufe-1- PSA-Modell zu quantifizieren. e. Die Merkmale und mittleren Häufigkeiten der Kernschadenszustände sollen bevorzugt in Form einer so genannten PDS-Matrix dargestellt werden.

5.2 Tragfähigkeit des Containments

a. Zur Abschätzung des Containmentverhaltens unter Schwerunfallbedingungen ist eine Strukturanalyse durchzuführen.

46 Januar 2018 (Änderung 1. Oktober 2024)

b. Alle für die Strukturanalyse relevanten Angaben zum Containment sind zu verwenden, insbesondere:

1 Eigenschaften der verwendeten Baumaterialien und der Armierung

2 Anordnung und Abmessungen der Containmentdurchdringungen

3 Eigenschaften der Durchdringungsabdichtungen

4. lokale Diskontinuitäten wie Formänderungen oder Änderungen bei der Stahlhülle oder der Armierung 5. potenzielle Wechselwirkungen zwischen der Stahlhülle und benachbarten Strukturen c. Die in der Strukturanalyse zu untersuchenden Versagensorte des Containments (z. B. Stahlhülle, Durchdringungen oder Schleusen) sind zu identifizieren. d. Zur Verifizierung der Angaben ist eine Anlagenbegehung durchzuführen. e. Die relevante anlagenspezifische Betriebserfahrung (z. B. Resultate aus Containment-Leckratenmessungen oder Erkenntnisse aus dem Alterungsüberwachungsprogramm) ist bei der Strukturanalyse zu berücksichtigen. f. In der Strukturanalyse ist sowohl ein quasi-statischer, als auch ein dynamischer Druckaufbau zu berücksichtigen. Für quasi-statische Druckbedingungen ist der Einfluss der Temperatur auf die Containmenttragfähigkeit zu ermitteln. g. Für jeden Versagensort ist eine Strukturanalyse basierend auf einer modernen, anerkannten und gut dokumentierten Methodik durchzuführen. Ergebnis der Analyse ist der Versagensdruck jedes Versagensortes als Funktion der Temperatur sowie der jeweilige Versagensmodus (z. B. Leckage, Rissbildung, komplettes Versagen). h. Im Rahmen der Strukturanalyse sind Unsicherheiten bei der Bestimmung der einzelnen Fragilities der Versagensorte zu berücksichtigen und auszuweisen. Die verschiedenen Fragilities sind zusammenzufassen zu einer umhüllenden (druck- und temperaturabhängigen) Fragility für das gesamte Containment. i. Neben der Containmenttragfähigkeit bei Überdruckbedingungen ist zusätzlich die Tragfähigkeit bei Unterdruck zu analysieren. j. Die ermittelte Containmenttragfähigkeit ist mit für ähnliche Containments geltenden Resultaten aus der Literatur zu vergleichen.

Januar 2018 (Änderung 1. Oktober 2024) 47

5.3 Containmentbeanspruchung

a. Bei der Bestimmung der Containmentbeanspruchungen während eines schweren Unfalls ist die aktuelle internationale Wissensbasis auf dem Gebiet der Schwerunfallphänomene zu Grunde zu legen. Folgende Schwerunfallphänomene sind zu berücksichtigen: 1. Metalloxidation und Wasserstofferzeugung im RDB sowie Auswirkungen möglicher Wasserstoffreaktionen im Containment (z. B. Deflagration, Detonation, Übergang Deflagration-Detonation, Diffusionsverbrennung)

2 Schmelze-Kühlmittel-Interaktion im RDB (einschliesslich Dampfexplosion)

3 Beanspruchung der unteren RDB-Kalotte durch Schmelzeangriff, Versagensmodi der Kalotte (je nach Fall unter Berücksichtigung äusserer

Kühlung)

4 Verlust der Integrität der druckführenden Umschliessung

5 Auswurf der Schmelze bei hohem Systemdruck (High Pressure Melt

Ejection)

6 RDB-Versagen

7 Druckaufbau im Containment aufgrund von nicht-kondensierbaren Gasen und Wasserdampf aus dem Primärkühlkreislauf

8 Schubkräfte auf den RDB (bei Versagen unter hohem Druck)

9. direkte Aufheizung des Containments (Direct Containment Heating)

10 Verteilung und Ausbreitung der Schmelze im Containment

11 Schmelze-Kühlmittel-Interaktion ausserhalb des RDBs (einschliesslich

Dampfexplosion)

12 Schmelze-Beton-Wechselwirkung unter Berücksichtigung der Kühlbarkeit der Schmelze, des Schmelzeangriffs auf das Fundament und auf

Wände, der Erzeugung von Wasserstoff und Kohlenmonoxid sowie der Erzeugung anderer nicht-kondensierbarer Gase (z. B. Kohlendioxid) 13. quasi-statischer Druckaufbau im Containment aufgrund des langfristigen Eintrags von Wärme, Wasserdampf und nicht-kondensierbaren Gasen b. Für den Nichtleistungsbetrieb sind spezifische Schwerunfallphänomene (wie Luftzufuhr zu den Brennelementen oder erhöhte Oxidation und Zirkonium- Brand) zu untersuchen.

48 Januar 2018 (Änderung 1. Oktober 2024)

c. Um die Containmentbeanspruchung während eines schweren Unfalls zu ermitteln, sind als Teil der Wissensbasis verschiedene (dominante) Unfallszenarien zu analysieren. Unsicherheiten bei der Containmentbeanspruchung, welche sich aus der unvollständigen Kenntnis der oben aufgelisteten Phänomene ergeben, sind zu identifizieren.

5.4 Verlauf des schweren Unfalls

a. Für jeden PDS und jede Unfallsequenz ist der Verlauf des schweren Unfalls vom Kern- oder Brennstoffschaden bis zur Freisetzung radioaktiver Stoffe in einem Unfallablaufbaum (UAB) zu modellieren. b. Der UAB soll den Verlauf der Unfallsequenzen soweit als möglich abbilden. Befindet sich der Brennstoff im RDB, sind mindestens folgende Zeitfenster zu berücksichtigen: 1. vom Kernschaden bis zum RDB-Versagen 2. unmittelbar nach RDB-Versagen 3. längerfristig nach RDB-Versagen c. Folgende Punkte sind im UAB zu berücksichtigen:

1 Schwerunfallphänomene

2. Systemverfügbarkeiten (z. B. Containment-Druckentlastungssystem, Umluftkühler oder Wasserstoffrekombinatoren) 3. Accident-Management-Massnahmen, einschliesslich Wiederherstellung der Stromversorgung oder von Schutzzielfunktionen (z. B. Wärmeabfuhr aus dem Containment)

4 Status des Containments

d. Zur Quantifizierung der Verzweigungswahrscheinlichkeiten im UAB sind Ergebnisse falls möglich von anerkannten Computercodes (z. B. MELCOR oder MAAP), andernfalls von Handrechnungen zu verwenden. Sind in bestimmten Fällen analytische Methoden ungeeignet, kann auf begründete Expertenschätzungen zurückgegriffen werden. Basiert eine Verzweigungswahrscheinlichkeit auf weiteren Unterverzweigungen (abhängig von den Randbedingungen des Unfalls), sind diese Unterverzweigungen ausführlich zu dokumentieren. e. Bei der Bestimmung der Verzweigungswahrscheinlichkeiten für Personalhandlungen sind die für die Stufe 2 charakteristischen Randbedingungen zu berücksichtigen (z. B. der weniger verbindliche Charakter der schriftlichen

Januar 2018 (Änderung 1. Oktober 2024) 49

Anweisungen, erhöhter Stress und erhöhte Arbeitsbelastung). Eine pauschale Berücksichtigung dieser Randbedingungen durch Verwendung der konservativen ASEP-Screening-Methode ist akzeptabel. f. Für die Unsicherheiten bei den Verzweigungswahrscheinlichkeiten gilt: 1. Die Ermittlung der Unsicherheiten bei den UAB-Verzweigungswahrscheinlichkeiten muss sich auf experimentelle Ergebnisse, Expertenschätzungen oder Ergebnissen öffentlicher und anerkannter Studien stützen. Alternativ können im Rahmen der Bestimmung von Verzweigungswahrscheinlichkeiten, welche mit grossen Unsicherheiten behaftet sind, Sensitivitätsstudien durchgeführt werden, die den Bereich der erwarteten Unsicherheit abdecken. Wird hierfür ein Computerprogramm verwendet, ist der Bereich der verwendeten Eingabeparameter zu begründen und zu dokumentieren. 2. Bei der Analyse der phänomenologischen Unsicherheiten sind die Modellierungsgrenzen des verwendeten Computerprogramms zu berücksichtigen. g. Der in der Stufe-2-PSA betrachtete Zeitraum vom Zeitpunkt des auslösenden Ereignisses bis zum Erreichen eines bestimmten Endzustands (Mission Time) hat mindestens 48 Stunden zu betragen. Steht nach 48 Stunden ein Containmentversagen (z. B. aufgrund eines Überdrucks oder wegen Fundamentversagens) oder Kern- oder Brennstoffschaden kurz bevor, ist der betrachtete Zeitraum zu erweitern. h. Die Endzustände des UAB sind in Form von Freisetzungskategorien zu gruppieren. Jede Freisetzungskategorie hat einen ähnlichen Zustand hinsichtlich des Unfallverlaufs und des sich ergebenden Quellterms zu repräsentieren und ist mindestens durch folgende Merkmale zu charakterisieren: 1. Status des Containments (z. B. geöffnet während der Revisionsarbeiten; druckentlastet; isoliert, unter Berücksichtigung der erwarteten Leckage; nicht isoliert; mit Bypass; grossflächig beschädigt; Fundament beschädigt),

2 Zeitpunkt der Freisetzung (z. B. früh oder spät)

3 Art der Freisetzung ausserhalb des RDBs (d. h. Schmelze-Betonwechselwirkung unter Wasser oder trocken)

4 Wirksamkeit von Spaltprodukt-Rückhaltungsmechanismen (z. B. Auswaschung mit dem Containment-Sprühsystem oder Rückhaltung

durch eine Wasserüberdeckung)

50 Januar 2018 (Änderung 1. Oktober 2024)

i. Die mittleren Freisetzungshäufigkeiten und deren Unsicherheitsverteilungen sind für die einzelnen Freisetzungskategorien durch Quantifizierung des UABs zu bestimmen.

5.5 Quelltermanalyse

a. Für jede Freisetzungskategorie sind ein Quellterm und ein Freisetzungszeitpunkt zu berechnen. b. Die Quellterme sind durch radiologische Gruppen darzustellen, welche das Kerninventar des Reaktors charakterisieren. Die Gruppierung hat auf thermodynamischen und chemischen Ähnlichkeiten der verschiedenen Radionuklide zu basieren und hat mindestens die Gruppen gemäss Anhang 8, Tabelle A8-10 zu berücksichtigen. c. Die Quelltermberechnung hat mit einem anlagenspezifischen Computermodell zu erfolgen, welches das Kerninventar, den Primär- und Sekundärkreislauf bei DWR beziehungsweise den Dampf-Wasser-Kreislauf bei SWR sowie das Containment und die Sicherheitssysteme adäquat abbildet. Der verwendete Computercode hat dem Stand von Wissenschaft und Technik zu entsprechen und ist imstande, die Thermohydraulik mit der Freisetzung, dem Transport und der Rückhaltung der Spaltprodukte rechnerisch zu koppeln (integrierter Computercode). d. Der Einfluss von Modellierungsgrenzen des verwendeten Computercodes auf die berechneten Quelltermresultate ist zu diskutieren.

5.6 Quantifizierung und Stufe-2-PSA-Ergebnisse

5.6.1 Quantifizierung

a. Die Quantifizierung des UABs ist mit einem validierten Computercode durchzuführen. Grenzen des Computercodes und der Quantifizierungsmethode sind zu diskutieren. b. Die Unsicherheiten bei den PDS-Häufigkeiten und bei den Verzweigungswahrscheinlichkeiten des UABs sind bei der Quantifizierung zu berücksichtigen. c. Die Quantifizierung kann mit einem integrierten PSA-Modell oder mit separaten Stufe-1- und Stufe-2-Modellen erfolgen. d. Die Ergebnisse sind unter Berücksichtigung der Anlagenmerkmale bezüglich Auslegung und Betrieb auf Plausibilität hin zu überprüfen.

Januar 2018 (Änderung 1. Oktober 2024) 51

5.6.2 Darstellung der Stufe-2-PSA-Resultate

5.6.2.1 Risikoprofil

a. Die PDS sind in Form einer PDS-Matrix in der PSA-Dokumentation zu beschreiben (vgl. Anhang 8, Tabelle A8-11). b. Die Beiträge der wichtigsten PDS oder der wichtigsten auslösenden Ereignisse zu jeder Freisetzungskategorie sind in der PSA-Dokumentation auszuweisen (vgl. Anhang 8, Tabelle A8-12). c. Die Häufigkeit jeder Freisetzungskategorie ist – zusammen mit weiteren Parametern entsprechend Anhang 8, Tabelle A8-11 – in der PSA-Dokumentation auszuweisen (vgl. Anhang 8, Tabelle A8-13). d. Die Beiträge der Freisetzungskategorien zur LERF, SLERF, LRF und SLRF sind in der PSA-Dokumentation auszuweisen (vgl. Anhang 8, Tabelle A8- 14). e. Die Beiträge aller Gruppen auslösender Ereignisse zur LERF und SLERF sind in der PSA-Dokumentation auszuweisen (vgl. Anhang 8, Tabelle A8- 15). f. Für jede Freisetzungskategorie, die einen nennenswerten Ergebnisbeitrag zur TRAR beziehungsweise STRAR leistet, sind in der PSA-Dokumentation die wichtigsten Merkmale der Freisetzungskategorien auszuweisen (vgl. Anhang 8, Tabelle A8-16).

5.6.2.2 Importanzanalyse

Hinsichtlich der LERF und SLERF sind die Fussell-Vesely-Importanz FV und der Risk Achievement Worth RAW von Basisereignissen (vgl. Anhang 8, Tabelle A8-17) und von Komponenten (vgl. Anhang 8, Tabelle A8-18) auszuweisen. Wird ein integriertes PSA-Modell verwendet, sind diese Importanzen direkt mit dem Modell zu berechnen. Ansonsten ist eine Näherungslösung akzeptabel.

5.6.2.3 Sensitivitätsanalyse

Hinsichtlich LERF und SLERF sind folgende Sensitivitätsanalysen durchzuführen: a. Einfluss der bei der Modellierung der Schwerunfallphänomene getroffenen Annahmen, b. Einfluss weiterer wichtiger Modellierungsannahmen.

52 Januar 2018 (Änderung 1. Oktober 2024)

5.6.2.4 Erkenntnisse

a. Werden im Rahmen der Stufe-2-PSA-Entwicklung mögliche Anlageverbesserungen identifiziert, sind diese Verbesserungspotenziale zu bewerten und zu dokumentieren. b. Basierend auf den Erkenntnissen der Stufe-2-PSA ist zu diskutieren, 1. ob sinnvolle Änderungen an den Entscheidungshilfen für das Unfallmanagement (Severe Accident Management Guidance) möglich sind und 2. ob bestimmte Themen Gegenstand der Schwerunfallforschung sein sollten. c. Die Erkenntnisse aus der vorherigen PSA sind mit denjenigen der aufdatierten PSA zu vergleichen. Unterschiede sind zu diskutieren.

6 Qualitätssicherung

6.1 Qualitätssicherungs-Prozess und Peer Review

a. Die Entwicklung, Aufdatierung und Anwendung der PSA muss in das übergeordnete Qualitätssicherungs-Programm des Bewilligungsinhabers oder Gesuchstellers eingebettet sein. Hier sind die spezifischen Qualitätssicherungs-Anforderungen für die PSA festzuschreiben. b. Die Ersteller einer neuen PSA oder einer PSA-Aufdatierung haben über fundierte Anlagenkenntnisse und Kenntnisse im Bereich der PSA zu verfügen. c. Der Bewilligungsinhaber oder Gesuchsteller hat in besonderem Masse in die Entwicklung, Aufdatierung und Anwendung der PSA eingebunden zu sein. Es ist seine Aufgabe, alle PSA-Dokumente zu überprüfen und mit Unterschrift freizugeben. d. Die PSA ist stetig zu verbessern. e. Eine neu entwickelte oder in weiten Bereichen aktualisierte PSA soll einer Peer Review durch ein vom Ersteller unabhängiges Review Team aus PSA- Experten unterzogen werden. Die Kommentare aus der Überprüfung sind dem ENSI einzureichen.

Januar 2018 (Änderung 1. Oktober 2024) 53

6.2 Dokumentation

6.2.1 Inhaltliche Anforderungen

a. Die PSA-Dokumentation hat vollständig und nachvollziehbar zu sein. Die verwendeten PSA-Methoden, -Modelle, -Daten, -Analysen und die erzielten Resultate sind zu dokumentieren. b. Die PSA-Dokumentation ist als umfassendes, in sich geschlossenes System zu gestalten. c. Alle wichtigen Details der PSA sind klar zu beschreiben. Es ist sicherzustellen, dass der Detaillierungsgrad der Dokumentation eine unabhängige Überprüfung und ein Nachvollziehen aller Analyseaspekte gestattet. d. Sämtliche Annahmen in den PSA-Modellen und -Analysen sind als solche auszuweisen und zu begründen. e. Jegliche PSA-Information und alle Datenquellen sind zu referenzieren. Die Referenzen sollten zugänglich sein. f. Die Resultate der im Rahmen der PSA durchgeführten Analysen sind in SI- Einheiten anzugeben.

6.2.2 Regelungen zur Einreichung der PSA-Dokumentation

a. Die PSA-Dokumentation kann dem ENSI elektronisch (d. h. auf Datenträger) eingereicht werden. b. Ein zusammenfassender Bericht, der allgemeine Angaben zur Erstellung der PSA, die übergeordneten Resultate der PSA gemäss Kap. 4.7.2 und 5.6.2 sowie die entsprechenden Anwendungen der PSA gemäss der Richtlinie ENSI-A06 enthält, ist dem ENSI einzureichen. c. Die PSA-Modelle der Stufe 1 sind elektronisch mit geeigneter Viewer-Software einzureichen. Von den Modellen der Stufe-2-PSA sind zumindest die Fehlerbäume und Ereignisbäume elektronisch einzureichen.

7 PSA für andere Kernanlagen

7.1 Forschungsreaktoren und Zwischenlager

Für Forschungsreaktoren und Zwischenlager sind im Rahmen der risikotechnischen Umsetzung von Art. 22 KEV sowie des Bewilligungsverfahrens folgende probabilistische Analysen durchzuführen:

54 Januar 2018 (Änderung 1. Oktober 2024)

a. Für alle Störfälle nach Art. 8 KEV mit einer resultierenden Dosis von über 1 mSv für nichtberuflich strahlenexponierte Personen sind die Störfallhäufigkeiten zu bestimmen. Dafür sind die Eintrittshäufigkeiten der auslösenden Ereignisse und die Wahrscheinlichkeiten von Einzelfehlern gemäss den Anforderungen in Kap. 4 der vorliegenden Richtlinie zu ermitteln, soweit diese Anforderungen auf die Anlage übertragbar sind. b. Beträgt die kumulierte Häufigkeit aller Störfälle mit einer resultierenden Dosis von über 1 mSv höchstens 10-6 pro Jahr, sind keine weiteren probabilistischen Analysen erforderlich. c. Ist die kumulierte Häufigkeit aller Störfälle mit einer resultierenden Dosis von über 1 mSv grösser als 10-6 pro Jahr, werden die PSA-Anforderungen von der Aufsichtsbehörde fallweise festgelegt.

7.2 Geologische Tiefenlager

Im Rahmen des Bau- sowie des Betriebsbewilligungsverfahrens für geologische Tiefenlager inklusive Anlageteile wie Hauptlager, Pilotlager, Zugangsbauwerke und Oberflächenanlagen gelten nachfolgende PSA-Anforderungen: a. Es ist eine Risikokenngrösse zu definieren, welche geeignet ist, das radiologische Risiko durch Störfälle des geologischen Tiefenlagers zu quantifizieren. b. Es ist eine PSA gemäss den technischen Anforderungen der Kap. 4 bis 6 dieser Richtlinie zu erstellen, soweit diese Anforderungen angemessen und übertragbar sind. Diese PSA soll eine risikotechnische Bewertung der nuklearen Sicherheit und der Ausgewogenheit der Auslegung ermöglichen.

Diese Richtlinie wurde am 19. Januar 2018 vom ENSI verabschiedet. Der Direktor des ENSI: sig. H. Wanner

Januar 2018 (Änderung 1. Oktober 2024) 55

Anhang 1: Begriffe (gemäss ENSI-Glossar) 1 Anlagenspezifische Rohdaten (für die Bestimmung der Komponentenzuverlässigkeit) Die aus der anlagenspezifischen Betriebserfahrung auszuwertenden Rohdaten umfassen unabhängige Einzelausfälle und Mehrfachausfälle mit gemeinsamer Ursache (CCF) von Komponenten, die Häufigkeit und Dauer von Komponententests, -instandsetzungen und -wartungen sowie die Anzahl Anforderungen und Betriebsstunden. Auslösendes Ereignis Für den Leistungsbetrieb werden Störungen und Schäden an Komponenten und Anlagenteilen, die eine Reaktorschnellabschaltung auslösen, als auslösende Ereignisse bezeichnet. Auch manuelle Reaktorabschaltungen (z. B. aufgrund eines Erdbebens oder eines Brandes) zählen zu den auslösenden Ereignissen. Im Nichtleistungsbetrieb werden solche Ereignisse als auslösend bezeichnet, bei denen die Schutzzielfunktionen zur Brennelementkühlung nicht im erforderlichen Umfang verfügbar oder bei denen die Schutzzielfunktionen zur Reaktivitätskontrolle nicht ausreichend wirksam sind. Basisereignis Ein Basisereignis ist ein Ereignis in einem Fehlerbaum, das nicht weiter unterteilt wird, wie z. B. das Startversagen einer Pumpe. Common Cause Failure (CCF) Ein Common Cause Failure ist ein Ausfall von zwei oder mehr Komponenten innerhalb eines bestimmten Zeitfensters (in der Regel zwei Testintervalle) als Folge einer gemeinsamen Ursache. Core Damage Frequency (CDF) Die Kernschadenshäufigkeit ist die jährlich bei Leistungsbetrieb erwartete Anzahl von Ereignissen, die zu einer Kernabdeckung und -aufheizung und zu einer signifikanten Freisetzung radioaktiver Stoffe aus dem Kern führen. Error of Commission (EOC) Ein Error of Commission ist eine den Störfallablauf negativ beeinflussende Handlung infolge eines Irrtums, Versehens oder einer Fehlleitung durch fehlerhafte oder missverständliche Anweisungen oder Anzeigen. Fuel Damage Frequency (FDF) Die Brennstoffschadenshäufigkeit ist die jährlich bei Nichtleistungsbetrieb erwartete Anzahl von Ereignissen, die zu einer Aufheizung oder anderweitiger (mechanischer) Beschädigung

1 Begriff „Brandabschnitt“ gelöscht am 1. Oktober 2024 aufgrund der Richtlinie ENSI-G18

Januar 2018 (Änderung 1. Oktober 2024) 57

des Brennstoffs und zu einer signifikanten Freisetzung radioaktiver Stoffe aus dem Kernbrennstoff führen. Dabei ist es unerheblich, an welchem Ort (RDB, Lagerbecken, etc.) sich der Brennstoff befindet. Fragility Die Fragility ist die durch das auslösende Ereignis bedingte Wahrscheinlichkeit eines Komponenten- oder Bauwerkausfalls. Die Erdbeben-Fragility wird durch ein doppel-logarithmisches Modell mit drei Parametern (Am, βR, und βU) beschrieben. Fussell-Vesely-Importanz (FV) Die Fussell-Vesely-Importanz FVi ist ein Mass für die Importanz eines Basisereignisses i. Sie gibt an, um welchen relativen Anteil das Risiko R (CDF, FDF, LERF bzw. SLERF) abnimmt, wenn das Basisereignis garantiert vermieden wird und wird wie folgt berechnet: wobei RS: Risiko bei garantierter Vermeidung des Basisereignisses i R: mittleres Risiko High Confidence of Low Probability of Failure (HCLPF) Der HCLPF bezeichnet das Niveau der seismischen Bodenbewegung, bei welchem die Versagenswahrscheinlichkeit einer Komponente oder eines Bauwerks mit hohem (95 %) Vertrauen gering (≤ 5 %) ist. Human Error Probability (HEP) Die Human Error Probability ist die Fehlerwahrscheinlichkeit einer im Störfall angeforderten Personalhandlung. Integriertes PSA-Modell Ein integriertes PSA-Modell erlaubt die durchgängige Berechnung von Unfallszenarien vom auslösenden Ereignis bis zur Freisetzung, ohne dass die Kernschadenszustände beim Übergang von der Stufe-1- zur Stufe-2-PSA ausserhalb der automatisch ablaufenden Modellberechnung zu gruppieren sind. Kategorie-A-Handlungen Als Kategorie-A-Handlungen gelten Handlungen bei Routinetests, Wartung oder Instandsetzung an Systemen, welche vor einem auslösenden Ereignis ausgeführt werden und bei denen Fehler auftreten können, die zur Unverfügbarkeit von im Störfall benötigter Systeme beitragen. Kategorie-B-Handlungen Als Kategorie-B-Handlungen gelten Handlungen, bei denen Fehler auftreten können, die zur Entstehung eines auslösenden Ereignisses beitragen.

58 Januar 2018 (Änderung 1. Oktober 2024)

Kategorie-C-Handlungen Als Kategorie-C-Handlungen gelten Handlungen zur Beherrschung von Störfällen gemäss den Anweisungen in Betriebs- und Störfallvorschriften sowie Accident-Management-Massnahmen. Kategorie-C-Handlungen in Unfallsequenzen mit Anforderung des Notfallstabs Als Kategorie-C-Handlungen in Unfallsequenzen mit Anforderung des Notfallstabs gelten Handlungen, für die in der anwendbaren Vorschrift eine vorgängige Konsultierung des Notfallstabs angewiesen wird oder die in einem Störfall angefordert wird, der so schwer ist (z. B. Notwendigkeit von Accident-Management-Massnahmen), dass eine Beteiligung des Notfallstabs an der Entscheidungsfindung zu erwarten ist. Leistungsbetrieb Der Leistungsbetrieb umfasst die Betriebszustände während des Volllastbetriebs und vergleichbarer Teillastbetriebe. Large Early Release Frequency (LERF) Die LERF ist die jährlich bei Leistungsbetrieb erwartete Anzahl von Ereignissen, die nach einem Kernschaden innerhalb von 10 Stunden zu einer Freisetzung von mehr als 2·1015 Bq Iod- 131 in die Umgebung führen. Large Release Frequency (LRF) Die LRF ist die jährlich bei Leistungsbetrieb erwartete Anzahl von Ereignissen, die zu einer Freisetzung von mehr als 2·1014 Bq Cäsium-137 in die Umgebung führen. Master Logic Diagrams (MLD) Das Master Logic Diagramm (MLD) ist eine Methode zur Identifizierung von auslösenden Ereignissen. Ein MLD ist ein logisches Diagramm, das einem Fehlerbaum gleicht, aber nicht dessen formale mathematische Eigenschaften aufweist. Das MLD startet mit einem Top Event „Kernschaden“ und teilt sich dann immer feiner in die einzelnen beitragenden Ereignisse auf. Nichtleistungsbetrieb Der Nichtleistungsbetrieb umfasst alle Betriebszustände ausser dem Leistungsbetrieb. Performance Shaping Factors (PSFs) Performance Shaping Factors sind anlagen- und szenariospezifische Einflüsse auf die Fehlerwahrscheinlichkeit von Personalhandlungen. Permanente Brandlast Als permanente Brandlast gilt eine fest installierte oder permanent in einem bestimmten Bereich der Anlage gelagerte Brandlast. PSA für den Leistungsbetrieb Mit der PSA für den Leistungsbetrieb wird das durch auslösende Ereignisse während des Leistungsbetriebs verursachte Risiko berechnet.

Januar 2018 (Änderung 1. Oktober 2024) 59

PSA für den Nichtleistungsbetrieb Mit der PSA für den Nichtleistungsbetrieb wird das durch auslösende Ereignisse während des Nichtleistungsbetriebs verursachte Risiko berechnet. PSA-Komponente Eine PSA-Komponente ist eine in der PSA explizit modellierte Komponente. PSA-relevant Strukturen, Systeme, Komponenten, Personalhandlungen, Brand- und Überflutungsbereiche sind PSA-relevant, wenn sie im PSA-Modell zu berücksichtigen sind. Risk Achievement Worth (RAW) Der Risk Achievement Worth RAWi ist ein Mass für die Importanz eines Basisereignisses i. Diese Importanz gibt an, um welchen Faktor das Risiko R (CDF, FDF, LERF bzw. SLERF) zunimmt, wenn das Basisereignis garantiert auftritt und wird wie folgt berechnet: wobei RF: Risiko bei garantiertem Auftreten des Basisereignisses i R: mittleres Risiko Recovery Action Eine Recovery Action ist eine Ersatzmassnahme zur Wiederherstellung einer infolge eines Komponentenausfalls unverfügbaren Schutzzielfunktion (z. B. manuelles Öffnen einer Armatur nach Versagen des automatischen Öffnungsbefehls), wobei die Handlungsausführung unabhängig von der Ursache des Komponentenausfalls spezifizierbar ist. Instandsetzungen ausgefallener Komponenten sind daher keine im Rahmen einer HRA zu bewertenden Recovery Actions. Shutdown Large Early Release Frequency (SLERF) Die SLERF ist die jährlich bei Nichtleistungsbetrieb erwartete Anzahl von Ereignissen, die nach einem Brennstoffschaden innerhalb von 10 Stunden zu einer Freisetzung von mehr als 2·1015 Bq Iod-131 in die Umgebung führen. Shutdown Large Release Frequency (SLRF) Die SLRF ist die jährlich bei Nichtleistungsbetrieb erwartete Anzahl von Ereignissen, die zu einer Freisetzung von mehr als 2·1014 Bq Cäsium-137 in die Umgebung führen. Shutdown Total Risk of Activity Release (STRAR) Die Risikokenngrösse STRAR ist ein Mass für die erwartete jährliche Gesamtfreisetzung radioaktiver Stoffe bei einem Brennstoffschaden. Sie wird berechnet, in dem, ausgehend von der FDF, die Häufigkeit jeder Freisetzungskategorie mit dem zugeordneten Quellterm multipliziert wird und diese Produkte aufsummiert werden.

60 Januar 2018 (Änderung 1. Oktober 2024)

Einheit: Bq/Jahr Stufe-1-PSA Die Stufe-1-PSA ist die probabilistische Sicherheitsanalyse zur Identifizierung und Quantifizierung von Unfallsequenzen, welche zu einem Kern- bzw. Brennstoffschaden führen. Stufe-2-PSA Die Stufe-2-PSA ist die probabilistische Sicherheitsanalyse zur Untersuchung der Vorgänge nach einem Kern- bzw. Brennstoffschaden sowie zur Quantifizierung der Häufigkeit radioaktiver Freisetzungen und deren Menge. Temporäre Brandlast Als temporäre Brandlast gilt eine temporär (insbesondere bei Nichtleistungsbetrieb) in einem bestimmten Bereich der Anlage gelagerte Brandlast. Transiente Brandlast Als transiente Brandlast gilt eine an verschiedenen Orten auftretende Brandlast. Total Risk of Activity Release (TRAR) Die Risikokenngrösse TRAR ist ein Mass für die erwartete jährliche Gesamtfreisetzung radioaktiver Stoffe bei einem Kernschaden. Sie wird berechnet, indem ausgehend von der CDF die Häufigkeit jeder Freisetzungskategorie mit dem zugeordneten Quellterm multipliziert wird und diese Produkte aufsummiert werden. Einheit: Bq/Jahr Überflutungsbereich Als Überflutungsbereich gilt der von direkten oder indirekten Überflutungsauswirkungen betroffene Bereich der Anlage.

Januar 2018 (Änderung 1. Oktober 2024) 61

Anhang 2: Abkürzungen AKZ Anlagenkennzeichnung ASEP Accident Sequence Evaluation Procedure ATWS Anticipated Transient without Scram CCF Common Cause Failure CDF Core Damage Frequency DH Druckhalter DWR Druckwasserreaktor EOC Error of Commission FDF Fuel Damage Frequency FMEA Failure Mode and Effect Analysis FV Fussell-Vesely-Importanz HCLPF High Confidence of Low Probability of Failure HEP Human Error Probability HID Hazard Input Document HRA Human Reliability Analysis KEG Kernenergiegesetz KEV Kernenergieverordnung KMV Kühlmittelverluststörfall LERF Large Early Release Frequency LOCA Loss of Coolant Accident LRF Large Release Frequency MLD Master Logic Diagram PDS Plant Damage State PGA Peak Ground Acceleration PGV Peak Ground Velocity PSA Probabilistische Sicherheitsanalyse PSF Performance Shaping Factor PSHA Probabilistic Seismic Hazard Analysis

Januar 2018 (Änderung 1. Oktober 2024) 63

RAW Risk Achievement Worth RDB Reaktordruckbehälter SLERF Shutdown Large Early Release Frequency SLIM Success Likelihood Index Methodology SLRF Shutdown Large Release Frequency STRAR Shutdown Total Risk of Activity Release SWR Siedewasserreaktor THERP Technique for Human Error Rate Prediction TRAR Total Risk of Activity Release UAB Unfallablaufbaum

64 Januar 2018 (Änderung 1. Oktober 2024)

Anhang 3: Kategorie-A-Handlungen

Name des Basisereignisses Bezeichnung des zugehörigen Ereignisses, welches im PSA-Modell integriert ist und den Ausfall der Personalhandlung repräsentiert Kurzbeschreibung der Handlung Kurzbeschreibung der erforderlichen Tätigkeit (z. B. Ventil wieder schliessen oder Grenzwertsignalgeber einstellen), für welche die Fehlergelegenheit identifiziert wurde schriftliche Anweisung Bezeichnung der Vorschrift, in welcher die erforderliche Tätigkeit beschrieben ist betroffene Komponente und Sys- Identifizierung der von der Fehlhandlung betroffetem oder Funktion nen Komponente und des betroffenen Systems oder der betroffenen Funktion Ausfallmodus oder Status der Status der Komponente infolge der Fehlhandlung Komponente z. B. Fehlstellung in Position XY, Fehlkalibrierung, falscher Setpoint, Auslösesignal blockiert Fehlergelegenheiten und Häufig- Identifizierung der Routinetätigkeiten oder anderer keit Aktivitäten, welche zum Fehler führen können inkl. Häufigkeit z. B. Funktionstests, Wartungsarbeiten im Leistungsbetrieb oder während der Revision Gelegenheiten zur Fehlererken- Identifizierung der Möglichkeiten und ihrer Häufignung und -korrektur, Häufigkeiten keit, den Fehler zu erkennen und zu beheben dieser Gelegenheiten z. B. periodische Überprüfungen (Checkliste und Häufigkeit sind anzugeben), Tests* (Testprozeduren sind aufzulisten) *Diese Tests sind nicht identisch mit denjenigen, bei denen der Fehler verursacht werden kann. HEP Fehlerwahrscheinlichkeit der Handlung inkl. Unsicherheitsverteilung Bemerkungen Besonderheiten bei der Quantifizierung z. B. Abhängigkeit von vorangegangenen Fehlhandlungen

Januar 2018 (Änderung 1. Oktober 2024) 65

Anhang 4: Kategorie-C-Handlungen

Name des Basisereignisses Bezeichnung des zugehörigen Ereignisses, welches im PSA-Modell integriert ist und den Ausfall der Personalhandlung repräsentiert Auslösendes Ereignis Bezeichnung des auslösenden Ereignisses im PSA-Modell Anzeigen Liste der Anlagenparameter, aufgrund derer die Handlung ausgelöst wird Beschreibung der Handlung Diagnose- und Ent- Kurzbeschreibung des Diagnosescheidungsanteil und Entscheidungsanteils der Handlung und Beschreibung der relevanten PSFs Ausführungsanteil Kurzbeschreibung des Ausführungsteils der Handlung und Beschreibung der relevanten PSFs Schriftliche Anweisungen Bezeichnung der Störfallanweisung und der Ausführungsschritte innerhalb der Anweisung Vorangegangene Ereignisse Liste oder kurze Beschreibung der ausgefallenen Top Events im PSA- Modell Zeitliche Randbedingungen Beginn des Zeitfensters und Kurzbeschreibung der notwendigen und der verfügbaren Zeit für die Handlung HEP Mittelwert und Error-Faktor des entsprechenden Basisereignisses im PSA-Modell falls möglich: aufgeteilt in einen Diagnose- und Entscheidungsteil sowie in einen Ausführungsteil Bemerkungen Besonderheiten bei der Quantifizierung z. B. Abhängigkeit von vorangegangenen Fehlhandlungen

Januar 2018 (Änderung 1. Oktober 2024) 67

Anhang 5: Personalhandlungen bei Erdbeben A5.1 Bestimmung der Fehlerwahrscheinlichkeit A5.1.1 Pauschaler Modellansatz Bei Erdbeben können die Fehlerwahrscheinlichkeiten von Personalhandlungen (HEP) wie folgt angepasst werden: 1. Bis zu einer Erdbebenstärke von 0,2 g (maximale horizontale Bodenbeschleunigung auf Fundamenthöhe des Reaktorgebäudes) können die Fehlerwahrscheinlichkeiten für Personalhandlungen unverändert aus dem Modell für interne Ereignisse (Transienten und Kühlmittelverluststörfälle, KMV) übernommen werden.

2 Bei Erdbeben im Intervall 0,2 g – 0,6 g ist eine lineare Interpolation zwischen den Werten für 0,2 g

und 0,6 g (garantierter Ausfall) durchzuführen. Spezialfall: Für Handlungen, die nicht innerhalb einer Stunde nach dem Erdbeben durchgeführt werden müssen, können die Fehlerwahrscheinlichkeiten bis zu einem Erdbeben der Stärke 0,6 g unverändert aus dem Modell für interne Ereignisse übernommen werden. 3. Ab 0,6 g sind sämtliche Personalhandlungen als garantiert ausgefallen zu betrachten. Das Modell ist in Abbildung A5-1 grafisch dargestellt:

HEP

short term actions

long term actions

HEPint

PGARB 0,2 g 0,6 g

Abbildung A5-1: Abhängigkeit der HEP von der Erdbebenstärke

A5.1.2 Verfeinerter pauschaler Modellansatz

1 Im Erdbebenstörfallmodell werden jene Personalhandlungen als garantiert ausgefallen gesetzt, für

welche die zur Diagnose, Ausführung oder Überwachung benötigte a. Instrumentierung oder b. Anleitung durch Störfallvorschriften fehlt.

68 Januar 2018 (Änderung 1. Oktober 2024)

2. Bei verfügbarer Instrumentierung und vorhandener Anleitung durch Vorschriften wird die Fehlerwahrscheinlichkeit einer Personalhandlung wie folgt bestimmt: a. Bis zu einer PGA von 0,2 g (bezogen auf die Fundamenthöhe des Reaktorgebäudes) kann die HEP der Personalhandlung unverändert aus dem Modell für interne Ereignisse übernommen werden. b. Für die Bestimmung der HEP bei einer PGA oberhalb des unteren Ankerwerts von 0,2 g wird zwischen kurzfristig (< 1 h nach Erdbeben), mittelfristig (1–12 h nach Erdbeben) und langfristig (> 12 h nach Erdbeben) angeforderten Handlungen unterschieden. Der Grenzwert (12 h) für den Beginn des Langzeitbereichs kann auf 8 Stunden reduziert werden, falls Vorkehrungen getroffen sind, die eine personelle Unterstützung von aussen innerhalb 8 Stunden auch dann gewährleisten, wenn der Erdbebenstörfall ausserhalb der normalen Arbeitszeit eintritt und mit einer Zerstörung der normalen Zufahrtswege einhergeht. c. Im Bereich oberhalb HEPint (HEP aus dem Modell für interne Ereignisse) wird beginnend bei einer PGA von 0,2 g der HEP-Anstieg in Abhängigkeit von der PGA mit Hilfe einer Lognormalverteilung modelliert: 𝑙𝑙𝑙𝑙 , kurzfristig erforderliche Handlung 0,566 ⎪ 𝑙𝑙𝑙𝑙 HEP = HEPint +(1-HEPint )Φ , mittelfristig erforderliche Handlung ⎨ 0,566

⎪HEP +(1-HEP )Φ 𝑙𝑙𝑙𝑙 0,586𝑔𝑔 , langfristig erforderliche Handlung int int ⎩ 0,566

Hierbei ist Φ(...) die kumulative Funktion der Standardnormalverteilung.

Januar 2018 (Änderung 1. Oktober 2024) 69

Anhang 6: Experten in der PSHA Hinsichtlich der Mitwirkung der Experten in der PSHA gelten die untenstehenden Anforderungen, Verantwortlichkeiten und Zuständigkeiten.

1 Anforderungen an die fachtechnischen Projektleiter:

a. Sie müssen international anerkannte Experten sein. b. Sie müssen kollektiv über ausgewiesenes Wissen und Erfahrung in den Bereichen PSHA- Durchführung, -Modellbildung und -Berechnung sowie Expertenbefragung und angewandte Wahrscheinlichkeitsverfahren verfügen. c. Sie müssen in ihrem Teilprojekt über ein Fachwissen verfügen, das jenem ihrer Teamkollegen mindestens ebenbürtig ist.

2 Verantwortung und Zuständigkeiten der fachtechnischen Projektleiter:

a. Sie sind verantwortlich für die fachtechnische Durchführung der PSHA und die fachtechnische Korrektheit der Resultate. b. Sie sind verantwortlich dafür, dass jede in das PSHA-Modell einfliessende Bewertung nachvollziehbar dokumentiert ist und jeder Bewerter hinterfragt und beurteilt, ob die der Bewertung zugrundeliegende Argumentation akzeptabel ist. c. Sie sind zuständig dafür, dass sich die Bewerter dem bewertenden Charakter ihrer Aufgabe bewusst sind, ihre Rolle strikte einhalten und insbesondere nicht mit der Rolle von Verfechtern spezifischer fachtechnischer Aspekte vermischen. d. Sie sind verantwortlich dafür, dass Schnittstellenprobleme zwischen den einzelnen Teilprojekten identifiziert werden und nicht zu Doppelzählungen von Unsicherheiten führen. e. Sie sind verantwortlich dafür, dass im PSHA-Modell die Unsicherheit durchgängig, systematisch und aufgeteilt in aleatorische und epistemische Beiträge erfasst ist. f. Sie sind verantwortlich für die hinsichtlich der Reproduzierbarkeit der PSHA vollständig nachvollziehbare Dokumentation sowohl des Ablaufs als auch der Resultate der PSHA.

3 Anforderungen an die Bewerter:

a. Er ist ein in seinem Zuständigkeitsbereich national oder international anerkannter Experte, der in der Lage ist, alternative Modelle, Hypothesen und Theorien der internationalen Fachwelt zu identifizieren, deren Stichhaltigkeit zu beurteilen und Bewertungen mit Mitteln der Statistik vorzunehmen. b. Er ist nicht Mitglied der fachtechnischen Projektleitung.

4 Verantwortung und Zuständigkeiten der Bewerter:

a. Er ist in seinem Teilprojekt mitverantwortlich für die fachtechnische Korrektheit des Beitrags an die Resultate der PSHA und dafür, dass die Unsicherheit durchgängig, systematisch und aufgeteilt in aleatorische und epistemische Beiträge erfasst ist.

Januar 2018 (Änderung 1. Oktober 2024) 71

b. Er ist zuständig für die hinsichtlich der Reproduzierbarkeit der PSHA vollständig nachvollziehbare Dokumentation seiner Bewertungen, inklusive der zugrunde gelegten Überlegungen und Begründungen. c. Er hinterfragt und beurteilt jede in das PSHA-Modell einfliessende Bewertung seines Teilprojekts dahingehend, ob die der Bewertung zugrundeliegende Argumentation akzeptabel ist. d. Er bestätigt schriftlich, dass nach seiner Einschätzung das aus den Bewertungen seines Teilprojekts erwachsene Hazard Input Document (HID) die Bewertungen akkurat und vollständig abbildet und als alleinige Eingabe des Teilprojekts in die Gefährdungsberechnung gilt. e. Er bestätigt schriftlich unter Einbezug dazu erforderlicher Sensitivitätsanalysen und unter Berücksichtigung der stichhaltig begründeten alternativen Modelle, Hypothesen und Theorien der internationalen Fachwelt in seinem Zuständigkeitsbereich, dass nach seiner Einschätzung Mittelwert, Form und Bandbreite der Unsicherheit in den Resultaten der PSHA den gefestigten und den sich als gefestigt abzeichnenden Stand von Wissenschaft und Technik widerspiegeln.

5 Zuständigkeit des mit der numerischen Gefährdungsberechnung beauftragten Experten:

a. Er ist Mitautor der HIDs und bestätigt schriftlich, dass die HIDs alle hinsichtlich der Eingabe in das Rechenprogramm erforderlichen Angaben enthalten. b. Er bestätigt schriftlich, dass er die Angaben der HIDs, sofern erforderlich nach Rücksprache mit den Teilprojektleitern oder den Bewertern, vollständig und ohne inhaltliche Interpretationen oder Vereinfachungen vorzunehmen in das vom Rechenprogramm verlangte Eingabeformat umgesetzt hat.

72 Januar 2018 (Änderung 1. Oktober 2024)

Anhang 7: Vorgaben zur Bestimmung der Tornadogefährdung Tabelle A7-1: Jährliche Eintrittshäufigkeiten von Tornados

Windböengeschwindigkeiten (3 s) Eintrittshäufigkeit Tornadoklasse

Tabelle A7-2: Abmessungen des Schadenszuges der Tornados

Tornadoklasse Länge des Schadenszuges [km] Breite des Schadenszuges [km]

Januar 2018 (Änderung 1. Oktober 2024) 73

Anhang 8: Auszuweisende Ergebnisse Tabelle A8-1: CDF- bzw. FDF-Beiträge verschiedener Ereigniskategorien

Zusammenfassungen Ereigniskategorie CDF bzw. FDF Anteil CDF bzw. Mittelwert 5% 50 % 95 % FDF

Transienten

Kühlmittelverluststörfälle (KMV)

Total interne Ereignisse

Brand

Interne Überflutung

andere interne systemübergreifende Ereignisse

Total interne systemübergreifende Ereignisse

Erdbeben

extreme Winde und Tornados

externe Überflutung

Flugzeugabsturz

andere externe Ereignisse

Total externe Ereignisse

Gesamte CDF bzw. FDF

Tabelle A8-2: CDF- bzw. FDF-Beiträge aller auslösenden Ereignisse

Auslösendes Ereignis

Name Beschreibung Häufigkeit Mittlere CDF bzw. FDF

Erdbeben 1

Brand 1

…

Januar 2018 (Änderung 1. Oktober 2024) 75

Tabelle A8-3: FDF-Anteile der verschiedenen Betriebszustände bei Nichtleistungsbetrieb

Betriebszustand Reaktorkühlsystem Anregung DH-Füll- Contain- Dauer FDF Pabs. der Sicher- Abk. Beschreibung T [°C] stand RDB ment [h] [%] [bar] heitssysteme (DWR) [%]

A1 Abfahren 150-20 300- 60 geschlos- geschlos- automatisch 20 6,3 150 sen sen

A2 Entladung des Brennstoffs

...

Tabelle A8-4: Importanzen von Basisereignissen

Basisereignis Beschreibung Mittelwert RAW bzw. FV

Tabelle A8-5: Komponentenimportanzen

Komponentenbezeichnung Beschreibung RAW bzw. FV (AKZ)

Tabelle A8-6: Importanzen von Personalhandlungen

Personalhandlung Beschreibung RAW bzw. FV

Tabelle A8-7: Systemimportanzen

Systembezeichnung Beschreibung RAW bzw. FV

1 TH TH-System (alle Schutzzielfunktionen)

2 TH Recirculation TH-System, Rezirkulationsmodus

3 TH Injection TH-System, Einspeisemodus

76 Januar 2018 (Änderung 1. Oktober 2024)

Tabelle A8-8: Wichtigste Ausfallkombinationen

Ausfallkombination CDF bzw. FDF % Name Beschreibung

1 1.63E-06 6,00 IEXZ1 Auslösendes Ereignis XZ1

XY111ABC Dieselgenerator 111 Startfehler

AXYZNCC CCF der Komponenten XYZ

Tabelle A8-9: Beschreibung der Kernschadenssequenzen

Nummer der Unfallsequenz

Häufigkeit der Unfallsequenz

prozentualer Anteil an der Gesamt-CDF

auslösendes Ereignis

Unverfügbarkeiten aufgrund des auslösenden Ereignisses − direkt, garantierter Ausfall − abhängiger Ausfall (z. B. Fragility)

ausgefallene Hilfssysteme

ausgefallene Sicherheitssysteme

ausgefallene Personalhandlungen

Beschreibung

Tabelle A8-10: Radiologische Gruppen für die Quelltermanalyse

Nr. Repräsentant Gruppenname Anmerkung

1 Xe Edelgase

2 I Halogene Die Verbindung CsI ist dieser Gruppe zuzuordnen.

3 Cs Alkalimetalle Die Verbindungen CsOH und Cs2MoO4 sind dieser Gruppe zuzuordnen.

4 Te Chalkogene

5 Ba Erdalkalimetalle

6 Mo Übergangsmetalle

7 Ru Platinoide

8 Ce Tetravalente

9 La Trivalente

Januar 2018 (Änderung 1. Oktober 2024) 77

Tabelle A8-11: PDS-Matrix (vereinfachtes Beispiel)

Sicherheits- Containment isoliert Ereigniskategorie Druck im RDB einspeisung ja nein

ja (Mittelwert, Error-Fak- – tor) hoch nein (Mittelwert, Error-Fak- (Mittelwert, Error- Transiente tor) Faktor)

ja – –

nein (Mittelwert, Error-Fak- (Mittelwert, Errortor) Faktor)

grosser KMV ... ... ... ...

... ... ... ...

Tabelle A8-12: Beiträge der Kernschadenszustände oder auslösenden Ereignisse zu den Freisetzungskategorien

Freisetzungs- mittlere Häufigkeit relativer Beitrag zur Beschreibung PDS kategorie [1/Jahr] Freisetzungskategorie

PDS-3 50,1 % frühes Containmentver- RC-1 6.2E-08 PDS-6 45,6 % sagen ... PDS-4 4,3 %

…

78 Januar 2018 (Änderung 1. Oktober 2024)

Tabelle A8-13: Freisetzungskategorien

Freisetzungs- Häu- Freiset- Freiset- Xe I C Te Ba Mo Ru Ce La Simulakategorie figkeit zungs- zungs- [Bq] [Bq] [Bq] [Bq] [Bq] [Bq] [Bq] [Bq] [Bq] tion [1/Jahr] zeitpunkt dauer [h] [h] Zeitpunkt der (ersten) Edelgasfreisetzung

Mittel

5% Run7, RC-1 frühes 50 % Venting 95 %

Mittel

5% Run2, RC-2 50 % Bypass

95 %

Tabelle A8-14: Beiträge der Freisetzungskategorien zu LERF bzw. SLERF und LRF bzw. SLRF

Häufigkeit [1/Jahr]

Freisetzungs- relativer Risikokenngrösse Mittelwert 5 %-Fraktil Median 95 %-Fraktil kategorie Beitrag

RC-3 47,1 %

RC-6 43,6 % LERF bzw. SLERF RC-4 7,2 %

RC-1 2,1 %

RC-6 85,1 %

LRF bzw. SLRF RC-1 10,1 %

RC-2 4,3 %

Januar 2018 (Änderung 1. Oktober 2024) 79

Tabelle A8-15: LERF bzw. SLERF-Beiträge der auslösenden Ereignisse

LERF bzw. SLERF [1/Jahr] Anteil Zusammenfassun- LERF Ereigniskategorie Mittelwert 5% 50 % 95 % gen bzw. SLERF

Transienten

Kühlmittelverluststörfälle

Total interne Ereignisse

Brand

interne Überflutung

andere interne systemübergreifende Ereignisse

Total interne systemübergreifende Ereignisse

Erdbeben

extreme Winde und Tornados

externe Überflutung

Flugzeugabsturz

andere externe Ereignisse

Total externe Ereignisse

wichtige Unfallszenarien

ATWS

ISLOCA

DE-Heizrohrbruch (nur DWR)

gesamte LERF oder SLERF

80 Januar 2018 (Änderung 1. Oktober 2024)

Tabelle A8-16: Wichtige Merkmale der Freisetzungskategorien

Freisetzungs- Häufigkeit Aerosol- Aerosolfrei- Anteil am Ae- Gesamtfrei- TRAR Anteil an kategorie [1/Jahr] freisetzung setzungsri- rosolfreiset- setzung bzw. der TRAR [Bq] siko zungsrisiko (inkl. Edel- STRAR bzw. [Bq/Jahr] [%] gase) [Bq/Jahr] STRAR [Bq] [%]

RC-1 1.07E-08 6.32E+16 6.76E+08 25,4 5.3E+18 5.67E+10 12,2

…

Gesamt 5.11E-06 2.81E+11 100 6.22E+12 100

Tabelle A8-17: Importanzen von Basisereignissen hinsichtlich der LERF bzw. SLERF

Basisereignis Beschreibung Mittelwert RAW bzw. FV

Tabelle A8-18: Komponentenimportanzen hinsichtlich der LERF bzw. SLERF

Komponentenbezeichnung (AKZ) Beschreibung RAW bzw. FV

Januar 2018 (Änderung 1. Oktober 2024) 81

Herausgeber: Eidgenössisches Nuklearsicherheitsinspektorat ENSI CH-5201 Brugg

+41 (0)56 460 84 00 info@ensi.ch www.ensi.ch

© ENSI Ausgabe vom Januar 2018 Änderung vom 1. Oktober 2024

ENSI-A05

ENSI Industriestrasse 19

5201 Brugg

Schweiz

+41 (56) 460 84 00 info@ensi.ch www.ensi.ch