Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen

1 Einleitung

Das Eidgenössische Nuklearsicherheitsinspektorat (ENSI) ist die Aufsichtsbehörde für die nukleare Sicherheit und Sicherung der Kernanlagen in der Schweiz. In seiner Eigenschaft als Aufsichtsbehörde oder gestützt auf einen Auftrag in einer Verordnung erlässt es Richtlinien. Richtlinien sind Vollzugshilfen, die rechtliche Anforderungen konkretisieren und eine einheitliche Vollzugspraxis erleichtern. Sie konkretisieren zudem den aktuellen Stand von Wissenschaft und Technik. Das ENSI kann im Einzelfall Abweichungen zulassen, wenn die vorgeschlagene Lösung in Bezug auf die nukleare Sicherheit und Sicherung mindestens gleichwertig ist.

2 Gegenstand und Geltungsbereich

Sicherheitsanalysen für bestehende Kernanlagen umfassen deterministische und probabilistische Untersuchungen von Störfallabläufen. Die Anforderungen an die probabilistischen Sicherheitsanalysen sind in der Richtlinie ENSI-A05 geregelt. Die deterministische Sicherheitsanalyse besteht aus einem technischen und einem radiologischen Teil. Die Anforderungen an die radiologische Sicherheitsanalyse sind in den Richtlinien ENSI-A08 und ENSI-G14 geregelt. Diese Richtlinie regelt Umfang, Methodik und Randbedingungen für die deterministische technische Sicherheitsanalyse für bestehende Kernanlagen. Sie präzisiert zudem die Methodik und die Randbedingungen zur Überprüfung der Kernkühlbarkeit bei Auslegungsfehlern basierend auf der Verordnung des UVEK über die Methodik und die Randbedingungen zur Überprüfung der Kriterien für die vorläufige Ausserbetriebnahme von Kernkraftwerken (SR 732.114.5). Die Vorgaben zu Randbedingungen der Analyse und zur Bestimmung des Schadensausmasses von Flugzeugabstürzen sind klassifiziert und nicht Gegenstand der vorliegenden Richtlinie. Ziel der technischen Sicherheitsanalyse ist es, a. den Nachweis zu erbringen, dass bei Auslegungsstörfällen (SE3-Störfälle) die grundlegenden Schutzziele S1 bis S3 sowie die Kriterien gemäss Art. 8 bis 11 der Verordnung des UVEK über die Gefährdungsannahmen und die Bewertung des Schutzes gegen Störfälle in Kernanlagen (SR 732.112.2) – im Folgenden als „Gefährdungsannahmenverordnung“ bezeichnet – eingehalten werden, b. die Kernkühlbarkeit für Störfälle auf der Sicherheitsebene 4a (SE4a- Störfälle) nachzuweisen, c. Randbedingungen für die radiologische Sicherheitsanalyse vorzugeben,

Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen September 2018 (Änderung vom 1. Oktober 2024) 1

d. Bedingungen und Begrenzungen für einen sicheren Betrieb vorzugeben sowie e. Inhalte für Stör- und Notfallvorschriften festzulegen. SE4b-Störfälle, welche per Definition zu einem schweren Kernschaden führen, werden mittels PSA untersucht.

3 Rechtliche Grundlagen

Diese Richtlinie führt die folgenden rechtlichen Bestimmungen aus: a. Art. 123 Abs. 5 der Strahlenschutzverordnung vom 26. April 2017 (StSV, SR 814.501) b. Art. 2 Abs. 4 der Verordnung des UVEK über die Gefährdungsannahmen und die Bewertung des Schutzes gegen Störfälle in Kernanlagen vom 17. Juni 2009 (SR 732.112.2) Im Weiteren stützt sich die vorliegende Richtlinie insbesondere auf folgende rechtliche Bestimmungen: c. Art. 7 Bst. c und d und Art. 8 der Kernenergieverordnung vom 10. Dezember 2004 (SR 732.11) d. Verordnung des UVEK über die Gefährdungsannahmen und die Bewertung des Schutzes gegen Störfälle in Kernanlagen vom 17. Juni 2009 (SR 732.112.2) e. Art. 2 und 3 der Verordnung des UVEK über die Methodik und die Randbedingungen zur Überprüfung der Kriterien für die vorläufige Ausserbetriebnahme von Kernkraftwerken vom 16. April 2008 (SR 732.114.5)

4 Auslegungsstörfälle in Kernkraftwerken (SE3-

Störfälle)

4.1 Ereignisspektrum

a. Es ist ein umfassendes anlagenspezifisches Ereignisspektrum mittels deterministischer und probabilistischer Methoden unter Berücksichtigung der nationalen und internationalen Erkenntnisse abzuleiten. Das Ereignisspektrum muss Leistungsbetrieb, Nulllastbetrieb, An- und Abfahren und Stillstand umfassen.

Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen 2 September 2018 (Änderung vom 1. Oktober 2024)

b. Für das in Bst. a bestimmte Ereignisspektrum sind die anforderungsbestimmenden Ereignisse mit Ursprung innerhalb der Anlage (interne auslösende Ereignisse) zu bestimmen und technische Sicherheitsanalysen durchzuführen. Die Anhänge A2.1 und A2.2 enthalten den Mindestumfang der Ereignisse, für die technische Sicherheitsanalysen durchzuführen sind. c. Das Spektrum der Störfälle mit Ursprung ausserhalb der Anlage (externe auslösende Ereignisse) ist auf Basis der standortspezifischen Gefährdungen zu bestimmen. d. Für die Ereignisse in den Anhängen A2.3 sowie A3.1 bis A3.3 ist aufzuzeigen, dass mit den getroffenen Vorkehrungen die Auswirkungen so begrenzt bleiben, dass diese über technische Sicherheitsanalysen anderer Störfälle abgedeckt sind. Ansonsten ist eine technische Sicherheitsanalyse für das entsprechende Ereignis durchzuführen. e. Für realistische Kombinationen von unabhängigen auslösenden Ereignissen ist aufzuzeigen, dass mit den getroffenen Vorkehrungen die Auswirkungen so begrenzt bleiben, dass diese über technische Sicherheitsanalysen anderer Störfälle abgedeckt sind. Ansonsten ist eine technische Sicherheitsanalyse für die entsprechenden Ereigniskombinationen durchzuführen.

4.2 Einzelfehler

a. Es ist zusätzlich zum auslösenden Ereignis ein davon unabhängiger Einzelfehler zu unterstellen. b. Der Einzelfehler ist dort zu unterstellen, wo dieser die Störfallbeherrschung am meisten einschränkt. Die Erkenntnisse aus der anlagespezifischen PSA sind zu berücksichtigen. c. Als Einzelfehler ist entweder der Ausfall einer aktiven oder passiven technischen Komponente oder das Ausbleiben einer vom Betriebspersonal durchzuführenden und zur Störfallbeherrschung angeforderten Handlung zu unterstellen. Dabei gilt:

1 Bei passiven Komponenten kann auf die Annahme eines Einzelfehlers verzichtet werden, wenn diese nachweislich eine hohe Qualität

besitzen.

2 Das Ausbleiben einer Handlung muss nicht als Einzelfehler unterstellt

werden, wenn eine ausreichende Alarmierung dafür vorliegt.

Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen September 2018 (Änderung vom 1. Oktober 2024) 3

4.3 Störfallhäufigkeit

a. Für die Ermittlung der Eintrittshäufigkeit eines auslösenden Ereignisses sind soweit anwendbar die Anforderungen der Richtlinie ENSI-A05 zu berücksichtigen. b. Die Störfallhäufigkeit ist zu ermitteln, indem die Eintrittshäufigkeit eines auslösenden Ereignisses mit der Wahrscheinlichkeit eines Einzelfehlers von 0,1 multipliziert wird. Ein kleinerer Wert bis minimal 0,01 darf verwendet werden, wenn dieser aus der Betriebserfahrung nachgewiesen werden kann. c. Bei der Bestimmung der Störfallhäufigkeit ist der Betriebszustand zu berücksichtigen. Die Häufigkeit reduziert sich entsprechend dem durchschnittlichen Zeitanteil eines solchen Betriebszustandes. d. Sofern die Technische Spezifikation einen zeitlich begrenzten Betrieb mit erhöhter Kühlmittelaktivität zulässt, ist für diesen die Einhaltung der entsprechenden Nachweiskriterien aufzuzeigen. Die Störfallhäufigkeit reduziert sich entsprechend dem Anteil der zulässigen Betriebsdauer. e. Sofern die Technische Spezifikation eine zeitlich begrenzte präventive Instandhaltung von Sicherheits- oder Notstandsystemen zulässt, ist unter Berücksichtigung dieser die Einhaltung der entsprechenden Nachweiskriterien aufzuzeigen. Die Störfallhäufigkeit reduziert sich entsprechend dem Anteil der zulässigen Instandhaltungsdauer. f. Der Störfall ist entsprechend seiner Häufigkeit in eine Störfallkategorie einzuteilen. g. Falls ein Störfall aufgrund der Unterstellung eines Einzelfehlers einer höheren Störfallkategorie zugeordnet wird, ist der Nachweis der Störfallbeherrschung auch ohne Einzelfehler zu erbringen. h. Folgende durch ein naturbedingtes Ereignis ausgelöste Störfälle sind zu analysieren:

1 Störfallkategorie 2: Störfall mit einer mittleren Überschreitungshäufigkeit des auslösenden Ereignisses von 10-3 pro Jahr

2 Störfallkategorie 3: Störfall mit einer mittleren Überschreitungshäufigkeit des auslösenden Ereignisses von 10-4 pro Jahr

i. Falls die Überschreitungshäufigkeit für ein naturbedingtes Ereignis nicht bestimmt werden kann, sind für die Störfallkategorien 2 und 3 die Einwirkungen konservativ festzulegen.

Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen 4 September 2018 (Änderung vom 1. Oktober 2024)

4.4 Allgemeine Vorgaben für die technische Sicherheitsanalyse

a. Das Versagen von Strukturen, Systemen und Komponenten (SSK) als Folge des auslösenden Ereignisses ist anzunehmen, wenn diese für das spezifische Ereignis nicht qualifiziert sind und die bedingte Versagenswahrscheinlichkeit grösser als 0,01 ist. b. Es ist für den Reaktor und für die Brennelementlagerbecken von einer Kernkonfiguration und einem Abbrand auszugehen, welche die Brennelementeinsatzstrategie abdecken. c. Der Notstromfall ist zum ungünstigsten Zeitpunkt während des Störfallablaufs anzunehmen, sofern dieser den Störfallablauf negativ beeinflusst. d. Das Blockieren des wirksamsten Steuerelements (stuck rod) ist zu berücksichtigen. e. Die Ansprechverzögerung bis zur Wirksamkeit der jeweiligen Schutzaktion ist zu berücksichtigen. f. Für die ersten 10 Stunden des Störfalls sind zur Erfüllung von Schutzzielfunktionen grundsätzlich nur Sicherheits- und Notstandssysteme zu kreditieren. Die Verwendung anderer für die Störfallbeherrschung qualifizierter Ausrüstungen ist zu begründen. g. Betriebs- und Begrenzungssysteme müssen berücksichtigt werden, wenn sie einen ungünstigen Einfluss auf den Störfallablauf haben. h. Handlungen des Betriebspersonals dürfen in den ersten 30 Minuten nach dem auslösenden Ereignis nicht kreditiert werden. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten. i. Die vorgeschriebenen Handlungen des Betriebspersonals sind zu berücksichtigen. Für die Handlungen muss ausreichend Zeit für Diagnose und Ausführung zur Verfügung stehen. j. Bei Mehrblockanlagen ist die mögliche gegenseitige Beeinflussung der Kernkraftwerksblöcke zu bewerten.

4.5 Berechnungsprogramme und Anlagenmodelle

a. Für die technische Sicherheitsanalyse sind neutronenphysikalische, thermohydraulische und strukturmechanische Berechnungsprogramme zu verwenden, die aufeinander abgestimmt sind.

Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen September 2018 (Änderung vom 1. Oktober 2024) 5

b. Es ist zu zeigen, dass alle wesentlichen, den Störfallablauf beeinflussenden physikalischen Phänomene in der technischen Sicherheitsanalyse berücksichtigt werden. c. Die eingesetzten Berechnungsprogramme müssen verifiziert und validiert sein. d. Erstellung, Anwendung und Pflege der Berechnungsprogramme haben durch dafür qualifiziertes oder geschultes Personal und im Rahmen eines zertifizierten Qualitätsmanagements (vgl. Richtlinie ENSI-G07) zu erfolgen. e. Die Anlagemodelle müssen verifiziert und soweit möglich validiert sein sowie den aktuellen Stand der Anlage oder die geplanten Anlagenänderungen widerspiegeln, sofern diese für die technische Sicherheitsanalyse relevant sind. f. Für die technische Sicherheitsanalyse ist eine der drei folgenden Varianten zulässig: 1. realistische Berechnungsprogramme und realistische Anfangs- und Randbedingungen mit Unsicherheitsanalysen (BEPU) (vgl. Kap. 4.5.1) 2. realistische Berechnungsprogramme und konservative Anfangs- und Randbedingungen (vgl. Kap. 4.5.2) 3. konservative Berechnungsprogramme und konservative Anfangs- und Randbedingungen (vgl. Kap. 4.5.3)

4.5.1 Realistische Berechnungsprogramme und realistische Anfangs- und

Randbedingungen mit Unsicherheitsanalysen (BEPU) a. Es sind realistische Anfangs- und Randbedingungen sowie realistische Annahmen für die Wirksamkeit der Sicherheitssysteme zu verwenden. Für die Eingabegrössen sind geeignete Verteilungsfunktionen anzunehmen. b. Sind bei der Modellierung spezifischer Phänomene konservative Annahmen notwendig, oder werden konservative Anfangs- und Randbedingungen abweichend zu Bst. a angenommen, dürfen diese nicht zu einem unrealistischen Szenario führen und die Ergebnisse nicht wesentlich beeinflussen. c. Die Einhaltung der technischen Nachweiskriterien ist mit ausreichender statistischer Sicherheit aufzuzeigen.

4.5.2 Realistische Berechnungsprogramme und konservative Anfangs-

und Randbedingungen a. Es sind konservative Anfangs- und Randbedingungen zu verwenden.

Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen 6 September 2018 (Änderung vom 1. Oktober 2024)

b. Bei den für die Störfallbeherrschung erforderlichen Systemen ist von deren minimaler Wirkung gemäss Auslegung auszugehen, es sei denn, eine höhere Wirkung hat ungünstigere Folgen für den Störfallablauf.

4.5.3 Konservative Berechnungsprogramme und konservative Anfangs-

und Randbedingungen Die Verwendung konservativer Berechnungsprogramme ist zu begründen. Für den Anwendungsfall ist nachzuweisen, dass das verwendete Berechnungsprogramm dem Stand der Technik entspricht.

4.6 Nachweisziele und technische Nachweiskriterien

a. Es ist nachzuweisen, dass für die zu untersuchenden Störfälle die technischen Kriterien gemäss Art. 8 bis 11 der „Gefährdungsannahmenverordnung“ entsprechend ihrer Zuordnung zur Störfallkategorie eingehalten werden. b. Es ist nachzuweisen, dass die Anlage in einen sicheren Anlagenzustand überführt werden kann, und aufzuzeigen, dass sie in diesem mit auf der Anlage vorhandenen Mitteln während mindestens 72 Stunden gehalten werden kann. c. Es ist aufzuzeigen, dass die Anlage langfristig in den kalt abgestellten Zustand überführt werden kann.

4.7 Ergänzende Anforderungen an die technische Sicherheitsanalyse interner Brände und interner Überflutungen

4.7.1 Interner Brand1

a. Zur Bestimmung des Ereignisspektrums anlageninterner Brände ist für jeden relevanten Brandabschnitt die Summe der Eintrittshäufigkeiten aller brandabschnittsspezifischen Brandszenarien mit dem gleichen Schadensausmass zu bestimmen. b. Die Identifizierung und Auswahl relevanter Brandabschnitte sind gemäss dem entsprechenden Kapitel der Richtlinie ENSI-A05 durchzuführen. Zusätzlich zu PSA-Komponenten sind dabei auch solche Komponenten zu betrachten, die radioaktive Stoffe in einer nicht vernachlässigbaren Menge enthalten oder enthalten können. Ein Ausschluss von Brandabschnitten

1 geändert am 1. Oktober 2024 aufgrund der Richtlinie ENSI-G18

Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen September 2018 (Änderung vom 1. Oktober 2024) 7

von der weiteren deterministischen Sicherheitsanalyse aufgrund quantitativer Auswahlkriterien (gemäss Richtlinie ENSI-A05) ist nicht zulässig. c. Die Brandeintrittshäufigkeiten sind gemäss dem entsprechenden Kapitel der Richtlinie ENSI-A05 zu bestimmen. d. Es sind die für die Störfallbeherrschung noch zur Verfügung stehenden SSK unter Berücksichtigung eines Einzelfehlers (vgl. Kap. 4.2) zu bestimmen. Das Versagen von automatischer Branderkennung, Brandbekämpfung und brandabschnittsbildenden Bauteilen ist in die Einzelfehlerbetrachtung einzubeziehen. e. Für die Brandentstehung sind folgende Annahmen unter Berücksichtigung der vorhandenen Zündquellen zu treffen: 1. Intern ausgelöste Brände sind grundsätzlich nur in einem Brandabschnitt zu unterstellen.

2 Durch externe Ereignisse ausgelöste Brände an Ausrüstungen sind

dann zu unterstellen, falls diese eine Brandlast aufweisen und der Einwirkung nicht nachweislich standhalten. 3. Ein Brand radioaktiver Abfälle ist dann zu unterstellen, wenn die Anforderungen gemäss Kap. 8.2 Bst. d der Richtlinie ENSI-G23 nicht erfüllt sind. f. Das Schadensausmass eines jeden Brandszenarios ist mittels geeigneter Nachweismethoden zu bestimmen und zu dokumentieren unter Berücksichtigung 1. der Brandlasten und der daraus resultierenden Brandauswirkungen (Temperatur-, Rauch- und Russentwicklung, Funkenflug und Druckaufbau), 2. der Branderkennungs- und Brandbekämpfungsmöglichkeiten sowie der Widerstandsfähigkeit der Brandbarrieren (Wände, Türen, Klappen und Schottungen), 3. der Wärmesenken und -quellen sowie der räumlichen Gegebenheiten (Art der Bauteile) und 4. der Lüftungsverhältnisse. g. Wird auf eine detaillierte Bestimmung des Schadensausmasses verzichtet, sind für die Komponenten des betroffenen Brandabschnitts die ungünstigsten Auswirkungen hinsichtlich des Störfallablaufs anzunehmen. h. Die Brandbekämpfung durch die Feuerwehr oder durch das Betriebspersonal sowie manuell ausgelöster Löschanlagen dürfen berücksichtigt werden,

Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen 8 September 2018 (Änderung vom 1. Oktober 2024)

falls für die erforderlichen Handlungen ausreichend Zeit für Diagnose und Ausführung zur Verfügung steht.

4.7.2 Interne Überflutung

a. Zur Bestimmung des Ereignisspektrums anlageninterner Überflutungen ist für jeden relevanten Überflutungsbereich pro überflutungsverursachendem System die Summe der Eintrittshäufigkeiten aller Überflutungsszenarien mit dem gleichen Schadensausmass zu bestimmen. b. Die Identifizierung und Auswahl relevanter Überflutungsbereiche sind gemäss dem entsprechenden Kapitel der Richtlinie ENSI-A05 durchzuführen. Zusätzlich zu den PSA-Komponenten sind dabei auch solche Komponenten zu betrachten, die radioaktive Stoffe in einer nicht vernachlässigbaren Menge enthalten oder enthalten können. Ein Ausschluss von Überflutungsbereichen von der weiteren deterministischen Sicherheitsanalyse aufgrund quantitativer Auswahlkriterien (gemäss Richtlinie ENSI-A05) ist nicht zulässig. c. Die Überflutungshäufigkeiten sind gemäss dem entsprechenden Kapitel der Richtlinie ENSI-A05 zu bestimmen. d. Das Schadensausmass eines jeden Überflutungsszenarios ist unter Berücksichtigung der Erkennungs- und Absperrmöglichkeiten in Abhängigkeit der Zeit zu bestimmen und zu dokumentieren. e. Wird auf eine detaillierte Bestimmung des Schadensausmasses verzichtet, sind für die Komponenten des betroffenen Überflutungsbereichs die ungünstigsten Auswirkungen hinsichtlich des Störfallablaufs anzunehmen. f. Es sind die für die Störfallbeherrschung noch zur Verfügung stehenden SSK unter Berücksichtigung eines Einzelfehlers (siehe Kap. 4.2) zu bestimmen. Das Versagen von technischen Einrichtungen wie Leckageerkennung, Sumpfpumpen oder Absperrarmaturen ist in die Einzelfehlerbetrachtung einzubeziehen.

4.8 Ergänzende Anforderungen an die technische Sicherheitsanalyse naturbedingter auslösender Ereignisse

a. Die technischen Sicherheitsanalysen für naturbedingte auslösende Ereignisse sind auf Basis der aktuellen, vom ENSI akzeptierten Gefährdungsannahmen durchzuführen. b. Bei Mehrblockanlagen ist zu unterstellen, dass alle Blöcke betroffen sind.

Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen September 2018 (Änderung vom 1. Oktober 2024) 9

4.8.1 Erdbeben

a. Es sind alle für die Störfallbeherrschung benötigten SSK sowie diejenigen Komponenten und Strukturen zu identifizieren, deren erdbebenbedingtes Versagen (z. B. durch mechanische Wechselwirkung oder durch seismisch ausgelöste Brände, Überflutungen oder Explosionen) die Störfallbeherrschung gefährden kann. b. Für alle unter Bst a. identifizierten SSK ist der entsprechende Nachweis für den jeweils relevanten Aspekt wie Funktion, Integrität oder Standfestigkeit für die zu betrachtenden Erdbebenlasten zu führen. Bei den Nachweisen sind die kumulierten Lasten aus Betrieb und Erdbeben zu berücksichtigen. c. Bei der Ermittlung der Etagenantwortspektren sind die realistischen dynamischen Eigenschaften der Struktur sowie die dynamische Boden- Bauwerks-Interaktion zu berücksichtigen. d. Die Erdbebenkapazität der druckführenden Umschliessung des Reaktorkühlsystems ist anhand eines gekoppelten Gesamtmodells bestehend aus den Bauwerksstrukturen des Reaktorgebäudes und den Komponenten der druckführenden Umschliessung zu bestimmen. e. Die Erdbebenkapazität weiterer für die Störfallbeherrschung notwendiger SSK ist mittels Fragility-Analysen, CDFM-Berechnungen (Conservative Deterministic Failure Margin) oder deterministischer Verfahren zu bestimmen. Dabei sind folgende Aspekte zu berücksichtigen:

1 Für Bauwerkstrukturen und Verankerungen sind bei der Bestimmung

der Erdbebenkapazität (Tragsicherheit) die Nachweise grundsätzlich nach dem Konzept der Partialfaktoren gemäss SIA- oder entsprechenden EU-Normen zu führen. Dabei sind die spezifisch für die Kernkraftwerke festgelegten Einwirkungen beziehungsweise Anforderungen zu berücksichtigen.

2 Für alle zur Störfallbeherrschung erforderlichen mechanischen und

elektrischen Ausrüstungen ist ein HCLPF-Wert zu bestimmen. 3. Für eine repräsentative Auswahl der zur Störfallbeherrschung erforderlichen mechanischen und elektrischen Komponenten ist die Erdbebenkapazität zusätzlich mittels deterministischer Verfahren zu bestimmen. Die repräsentative Auswahl muss die hinsichtlich der Erdbebenkapazität schwächsten Komponenten umfassen.

4 Die Erdbebenkapazität für wasserbauliche Einrichtungen, deren Versagen die Anlage gefährden kann, ist entsprechend der Methodik der

Richtlinie des Bundesamtes für Energie (BFE) über die Sicherheit der Stauanlagen unter Annahme der vom ENSI akzeptierten Erdbebengefährdung zu führen.

Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen 10 September 2018 (Änderung vom 1. Oktober 2024)

4.8.2 Externe Überflutung

a. Falls bei externer Überflutung eine Verstopfung oder Schädigung der Flusswasser-Einlaufbauwerke nicht ausgeschlossen werden kann, sind diese in der technischen Sicherheitsanalyse als ausgefallen anzunehmen. b. Die Auswirkungen hydrostatischer und dynamischer Lasten (einschliesslich Lasten aus akuter Erosion und Geschiebe) auf die SSK sind zu berücksichtigen.

4.8.3 Extreme Wetterbedingungen

a. Für die in Anhang A3.1 genannten Gefährdungen sind die auf die Anlage resultierenden Einwirkungen und Schäden zu bestimmen. b. Realistische Kombinationen von extremen Wetterbedingungen sind zu berücksichtigen.

5 SE4a-Störfälle in Kernkraftwerken

a. Es ist ein anlagenspezifisches Ereignisspektrum von SE4a-Störfällen auf Basis deterministischer sowie probabilistischer Erkenntnisse festzulegen. Anhang 4 enthält den Mindestumfang der zu berücksichtigenden Störfälle. b. Für naturbedingte Ereignisse gemäss Anhang A3.1 ist eine Sicherheitsmargenanalyse nach den Anforderungen von Kap. 6 durchzuführen. Im Rahmen der Sicherheitsmargenanalyse ist aufzuzeigen, bis zu welcher Gefährdung ein schwerer Brennstoffschaden im Reaktorkern oder in den Brennelementlagerbecken vermieden werden kann. c. Für die technische Sicherheitsanalyse sind die Vorgaben von Kap. 4.4 Bst. a und j zu berücksichtigen. d. Es dürfen alle auf dem Anlagenareal noch verfügbaren SSK berücksichtigt werden. Die Verfügbarkeit und Funktionalität der kreditierten SSK ist nachzuweisen. e. Handlungen des Betriebspersonals können berücksichtigt werden, falls ausreichend Zeit für Diagnose und Ausführung zur Verfügung steht. f. Es dürfen realistische Anfangs- und Randbedingungen verwendet werden. Unsicherheiten in den Anfangs- und Randbedingungen sind zu bewerten. g. Die Eignung der verwendeten Berechnungsprogramme ist aufzuzeigen. h. Es ist nachzuweisen, dass die Hüllrohrtemperatur so begrenzt bleibt, dass eine übermässige Versprödung und Oxidation vermieden wird.

Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen September 2018 (Änderung vom 1. Oktober 2024) 11

i. Es ist nachzuweisen, dass die Anlage in einen sicheren Zustand überführt und in diesem mit auf der Anlage vorhandenen Mitteln während mindestens 72 Stunden gehalten werden kann.

6 Sicherheitsmargenanalyse für naturbedingte Ereignisse in Kernkraftwerken

a. Die für die Abfahrpfade und Primärcontainmentintegrität benötigten SSK sind zu bestimmen. b. Die Sicherheitsmargen eines Abfahrpfades und der Primärcontainmentintegrität ergeben sich aus der Kapazität des jeweils schwächsten SSK bezogen auf die störfallspezifische Belastung bei einer Überschreitungshäufigkeit des auslösenden Ereignisses von 10-4 pro Jahr.

7 Überprüfung der Kernkühlbarkeit bei Auslegungsstörfällen in Kernkraftwerken hinsichtlich einer vorläufigen Ausserbetriebnahme

a. Es dürfen alle verfügbaren fest installierten SSK sowie die mobilen Notfallausrüstungen berücksichtigt werden, die für den zu beherrschenden Störfall qualifiziert sind. b. Ein Einzelfehler ist gemäss den Anforderungen von Kap. 4.2 zu unterstellen. c. Handlungen des Betriebspersonals können berücksichtigt werden. Die Wirksamkeit der Handlungen ist zu bewerten. d. Es dürfen realistische Berechnungsprogramme, Anfangs- und Randbedingungen verwendet werden. e. Es ist nachzuweisen, dass die Hüllrohrtemperatur so begrenzt bleibt, dass eine übermässige Versprödung und Oxidation vermieden wird.

Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen 12 September 2018 (Änderung vom 1. Oktober 2024)

8 Auslegungsstörfälle in sonstigen Kernanlagen und

Lagern (SE3-Störfälle) a. Es ist das anlagenspezifisch umhüllende Spektrum auslösender Ereignisse entsprechend den Anforderungen von Kap. 4.1 Bst. a bis d sofern anwendbar zu bestimmen. b. Ein Einzelfehler ist gemäss den Anforderungen von Kap. 4.2 zu unterstellen. c. Die Ermittlung der Störfallhäufigkeit richtet sich nach den Vorgaben gemäss Kap. 4.3. d. Für die technische Sicherheitsanalyse sind die Vorgaben von Kap. 4.4 Bst. a, c und i zu berücksichtigen. e. Für die Störfallbeherrschung dürfen nur dafür qualifizierte Ausrüstungen herangezogen werden. f. Der technische Sicherheitsnachweis hat auf folgender Basis zu erfolgen: 1. detaillierte, dem Stand der Technik entsprechende rechnerische Nachweise, die sich an den Vorgaben von Kap. 4.5 orientieren, oder 2. ingenieurmässige, konservative Abschätzungen. g. Die Anforderungen von Kap. 4.7 und 4.8 sind sofern anwendbar zu berücksichtigen. h. Es ist nachzuweisen, dass die Anforderungen von Art. 8 der „Gefährdungsannahmenverordnung“ eingehalten werden.

9 Dokumentation

a. Die gesamte Nachweisführung und die Ergebnisse der technischen Sicherheitsanalyse sind nachvollziehbar zu dokumentieren. b. Die verwendeten Rechenmethoden und Anlagenmodelle sind vollständig zu beschreiben. c. Es ist der technische Zustand der Anlage (Schadensbild) als Randbedingungen für die radiologischen Sicherheitsanalysen darzulegen. Die Vorgaben der Richtlinie ENSI-A08 sind zu berücksichtigen. d. Die für die Überprüfung erforderlichen Dokumente sind dem ENSI in elektronischer Form einzureichen.

Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen September 2018 (Änderung vom 1. Oktober 2024) 13

10 Liste der Verweisungen

Richtlinie des Bundesamts für Energie (BFE) über die Sicherheit der Stauanlagen, Teil C3, Erdbebensicherheit, Version 2.0, 1. Februar 2016

Diese Richtlinie wurde am 17. September 2018 vom ENSI verabschiedet. Der Direktor des ENSI: sig. H. Wanner

Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen 14 September 2018 (Änderung vom 1. Oktober 2024)

Anhang 1: Begriffe (gemäss ENSI-Glossar) Abfahrpfad Ein Abfahrpfad ist eine Kombination von Systemen und Massnahmen, mit der das Abfahren eines Kernkraftwerks in einen sicheren Zustand gewährleistet ist. Die Schweizer Kernkraftwerke verfügen über drei definierte Abfahrpfade, die in der Regel aus mehreren Redundanzen bestehen: Abfahrpfad 1: Der erste Abfahrpfad besteht aus den Sicherheitssystemen. Abfahrpfad 2: Die speziell geschützten Notstandsysteme stellen den zweiten Abfahrpfad dar. Er ist vornehmlich für die Beherrschung extremer externer Ereignisse sowie Einwirkungen Dritter vorgesehen. Abfahrpfad 3: Der dritte Abfahrpfad umfasst alle fest installierten SSK sowie die verfügbaren mobilen Notfallausrüstungen, deren Funktion für die aus dem zu beherrschenden Störfall resultierenden Belastungen nachgewiesen ist. Anforderungsbestimmende Ereignisse Anforderungsbestimmende Ereignisse sind solche, welche aufgrund des Störfallablaufs sowie der unterstellten Randbedingungen die grössten Anforderungen an die Einhaltung der Schutzziele stellen. Anlagenmodell Ein Anlagenmodell ist eine system- und komponentenbasierte Abbildung einer Kernanlage für die numerische Simulation von Störfällen mittels Berechnungsprogrammen. Berechnungsprogramm Berechnungsprogramme modellieren neutronenphysikalische, thermohydraulische oder strukturmechanische Phänomene einer Kernanlage. Berechnungsprogramme sind anlagenunabhängig. Deterministische Sicherheitsanalyse (Störfallanalyse) Die deterministische Sicherheitsanalyse ist eine quantitative Untersuchung des Anlageverhaltens bei Störfällen. Anhand der deterministischen Sicherheitsanalyse (Störfallanalyse) ist nachzuweisen, dass ein abdeckendes Spektrum von Störfällen unter vorgegebenen Randbedingungen durch die getroffenen Schutzmassnahmen wirksam beherrscht wird und damit die grundlegenden Schutzziele eingehalten werden. Erfolgspfad Ein Erfolgspfad umfasst eine Menge von Sicherheitseinrichtungen und -massnahmen, welche zusammen die Einhaltung der Schutzziele gewährleisten und die Anlage in einen sicheren Zustand überführen können.

Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen September 2018 (Änderung vom 1. Oktober 2024) 15

Notstromfall Der Notstromfall bezeichnet den vollständigen Ausfall der externen Stromversorgung und der Eigenbedarfsversorgung. Qualifizierte Ausrüstungen Qualifizierte Ausrüstungen sind fest installierte SSK sowie verfügbare mobile Notfallausrüstungen, deren Funktion für die aus dem zu beherrschenden Störfall resultierenden Belastungen nachgewiesen ist. SE3-Störfälle sind Auslegungsstörfälle. SE4a-Störfälle sind auslegungsüberschreitende Störfälle, welche ohne schweren Kernschaden auf der Sicherheitsebene 4a beherrscht werden müssen. SE4b-Störfälle sind auslegungsüberschreitende Störfälle, welche zu einem schweren Kernschaden führen.

Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen 16 September 2018 (Änderung vom 1. Oktober 2024)

Anhang 2: Interne auslösende Ereignisse A2.1 Ereignisse im Reaktorkühlkreislauf

Ereignis Druckwasser- Siedewasserreaktor reaktor

Fehlöffnen oder fehlerhaftes Offenbleiben von Frischdampf- λ λ Abblase- oder Frischdampf-Sicherheitsventilen

Fehlschliessen aller Frischdampf-Isolationsventile λ λ

kleine, mittlere und grosse Brüche im Reaktorkühlkreislauf oder λ λ von an den Reaktorkühlkreislauf anschliessenden Leitungen (inkl. doppelendiger Bruch einer Hauptleitung 2)

Leckagen und Brüche einer Frischdampfleitung innerhalb und λ λ ausserhalb des Primärcontainments (inkl. doppelendiger Bruch2)

Leckagen und Brüche einer Speisewasserleitung innerhalb und λ λ ausserhalb des Primärcontainments (inkl. doppelendiger Bruch2)

Leckagen und Brüche von Reaktorkühlmittel führenden Ent- λ λ nahme- und Messleitungen ausserhalb des Primärcontainments

Wärmetauscher-Lecks und Brüche von an den Reaktorkühl- λ λ kreislauf anschliessenden Leitungen, welche sich ganz oder teilweise ausserhalb des Primärcontainments befinden (Interfacing System LOCA)

Ausfall der Eigenbedarfsversorgung (Notstromfall) λ λ

Fehlausfahren einer Steuerelement-Bank oder eines Steuer- λ λ elements

Steuerelement-Auswurf λ

Steuerelement-Ausfall λ

Fehlfunktion des Volumenregelsystems λ

Ausfall oder Blockieren einer Reaktorkühlmittel- oder Reaktor- λ λ umwälz-Pumpe

Fehlöffnen oder fehlerhaftes Offenbleiben eines Druckhaltersi- λ cherheitsventils

doppelendiger Bruch eines Dampferzeuger-Heizrohres λ

2 Falls ein Leck-vor-Bruch-Verhalten nachgewiesen wurde, ist keine Analyse der mechanischen Folgen doppelendiger Leitungsbrüche erforderlich.

Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen September 2018 (Änderung vom 1. Oktober 2024) 17

A2.2 Ereignisse in Brennelementlagerbecken

Ereignis Druckwasser- Siedewasserreaktor reaktor

Ausfall eines Brennelementbecken-Kühlsystems λ λ

Leckagen oder Brüche von an das Brennelementlagerbecken λ λ anschliessenden Leitungen

Einwirkungen gemäss A2.3 (wo anwendbar) λ λ

Fehleinspeisen von Deionat λ

A2.3 Spezifische Einwirkungen von innen

Ereignis Druckwasser- Siedewasserreaktor reaktor

Brand λ λ

Überflutung λ λ

Versagen von Grosskomponenten (z. B. Turbinenhavarie) λ λ

Brennelementhandhabungsfehler λ λ

Absturz schwerer Lasten λ λ

Rohrausschlag (pipe whipping) λ λ

Projektil (missile) λ λ

Explosion λ λ

Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen 18 September 2018 (Änderung vom 1. Oktober 2024)

Anhang 3: Externe auslösende Ereignisse A3.1 Naturbedingte Einwirkungen von aussen

Ereignis Druckwasser- Siedewasserreaktor reaktor

Erdbeben λ λ

Hochwasser λ λ

extreme Wetterbedingungen: Wind, Tornado, minimale und λ λ maximale Aussenlufttemperatur, minimale und maximale Flusswassertemperatur, Waldbrand, Schneelast, Starkregen auf dem Anlagenareal, Trockenheit

Blitzschlag λ λ

A3.2 Zivilisatorische Einwirkungen von aussen

Ereignis Druckwasser- Siedewasserreaktor reaktor

Explosionen λ λ

Gaswolken λ λ

Brand λ λ

Beeinträchtigung oder Unterbruch der externen Kühlwasserzu- λ λ fuhr

A3.3 Ereignisse in Brennelementlagerbecken Die Einwirkungen gemäss A3.1 und A3.2 sind auch für Brennelementlagerbecken zu untersuchen.

Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen September 2018 (Änderung vom 1. Oktober 2024) 19

Anhang 4: Auslösende Ereignisse für SE4a-Störfälle

Ereignis Druckwasser- Siedewasserreaktor reaktor

Versagen der Reaktorschnellabschaltung (Anticipated Transient without Scram, ATWS) bei

• Ausfall der Eigenbedarfsversorgung (Notstromfall) λ λ

• Fehlschliessen aller Frischdampf-Isolationsventile λ

• Turbinenschnellschluss mit Bypass-Versagen λ

• einer Unterkühlungstransiente λ λ

Funktionsuntüchtigkeit des Hauptkommandoraums λ λ

lang andauernder Verlust der primären Wärmesenke λ λ

Totalausfall der Wechselstromversorgung (Total Station Black- λ λ out)

SE3-Störfälle gemäss Kap. 4.1 Bst. b, deren Häufigkeit mit Ein- λ λ zelfehler oder durch die Berücksichtigung des durchschnittlichen Zeitanteils des betrachteten Betriebszustandes gemäss Kap. 4.3 Bst. c und e 3 kleiner als 10-6 pro Jahr ist

SE3-Störfälle gemäss Kap. 4.1 Bst. b unter Annahme erst des λ λ zweiten, zeitlich verzögerten Anregekriteriums für die Reaktorschnellabschaltung

naturbedingte Ereignisse gemäss Kap. 5 Bst. b λ λ

Ausfall der sekundärseitigen Nachwärmeabfuhr λ

mehrfache Dampferzeuger-Heizrohrbrüche λ

Ereignis Druckwasser- Siedewasserreaktor reaktor

lang andauernder Verlust aller aktiven Brennelementbecken- λ λ kühlsysteme

3 berichtigt am 22. Januar 2020

Technische Sicherheitsanalyse für bestehende Kernanlagen: Umfang, Methodik und Randbedingungen September 2018 (Änderung vom 1. Oktober 2024) 21

Herausgeber: Eidgenössisches Nuklearsicherheitsinspektorat ENSI CH-5201 Brugg

+41 (0)56 460 84 00 info@ensi.ch www.ensi.ch

ENSI-A01

ENSI Industriestrasse 19

5201 Brugg

Schweiz

+41 (56) 460 84 00 info@ensi.ch www.ensi.ch