Auslegungsgrundsätze für in Betrieb stehende Kernkraftwerke

1 Einleitung

Das Eidgenössische Nuklearsicherheitsinspektorat (ENSI) ist die Aufsichtsbehörde für die nukleare Sicherheit und Sicherung der Kernanlagen in der Schweiz. In seiner Eigenschaft als Aufsichtsbehörde oder gestützt auf einen Auftrag in einer Verordnung erlässt es Richtlinien. Richtlinien sind Vollzugshilfen, die rechtliche Anforderungen konkretisieren und eine einheitliche Vollzugspraxis erleichtern. Sie konkretisieren zudem den aktuellen Stand von Wissenschaft und Technik. Das ENSI kann im Einzelfall Abweichungen zulassen, wenn die vorgeschlagene Lösung in Bezug auf die nukleare Sicherheit und Sicherung mindestens gleichwertig ist.

2 Rechtliche Grundlagen

Diese Richtlinie stützt sich auf Art. 10 Abs. 2 der Kernenergieverordnung (KEV; SR 732.11) sowie Art. 70 Abs. 1 Bst. a des Kernenergiegesetzes vom 21. März 2003 (KEG; SR 732.1).

3 Gegenstand und Geltungsbereich

Die übergeordneten Auslegungsgrundsätze für Kernkraftwerke sind in Art. 4 und 5 KEG sowie Art. 7 bis 10 KEV festgelegt. Für die in der Schweiz in Betrieb stehenden Kernkraftwerke sind diese Auslegungsgrundsätze unter Beachtung von Art. 82 KEV umzusetzen. Die Richtlinie ENSI-G02 präzisiert diese Auslegungsgrundsätze für in Betrieb stehende Kernkraftwerke. Sie ist bei der sicherheitstechnischen Bewertung von freigabepflichtigen Anlageänderungen und bei der Bewertung des Auslegungskonzeptes im Rahmen von Sicherheitsüberprüfungen anzuwenden. Bei freigabepflichtigen Anlageänderungen sind begründete Ausnahmen zulässig. Die vorliegende Richtlinie gilt für die Betriebszustände Voll- und Teillastbetrieb, An- und Abfahren sowie die Revision eines Kernkraftwerks. Für die Nachbetriebs- und Stilllegungsphasen gelten die Anforderungen der Richtlinie ENSI-G02 unter Berücksichtigung des sich ändernden Gefährdungspotenzials sinngemäss. Die Richtlinie ist wie folgt gegliedert: In Kapitel 4 werden die Grundsätze der nuklearen Sicherheit weiter präzisiert. Diese umfassen die grundlegenden Schutzziele, das Barrierenkonzept sowie das Konzept der gestaffelten Sicherheitsvorsorge mit Zuordnung von Schutzzielfunktionen zu den Sicherheitsebenen.

August 2019 (Änderung vom 28. Mai 2025) 1

In Kapitel 5 werden Anforderungen an Schutzzielfunktionen sowie die zugehörigen Strukturen, Systeme und Komponenten (SSK) auf den einzelnen Sicherheitsebenen festgelegt. Nicht Teil dieser Richtlinie sind Anforderungen an Ausrüstungen und Massnahmen auf der Sicherheitsebene 5, da diese Ebene den anlageexternen Notfallschutz umfasst. Die Anforderungen dazu sind in entsprechenden Verordnungen und Richtlinien festgelegt. Kapitel 6 enthält die Auslegungsanforderungen und Massnahmen zur Beherrschung von Störfällen. Kapitel 7 enthält zu ausgewählten Bereichen der nuklearen Sicherheit spezifische Auslegungsanforderungen. Dies betrifft insbesondere die Bereiche Bautechnik, Systemtechnik und Elektrotechnik. Die Auslegungsanforderungen im Bereich Strahlenschutz sind bereits in mehreren Verordnungen sowie in anderen ENSI- Richtlinien festgelegt.

4 Grundlegende Konzepte der nuklearen Sicherheit

4.1 Das Schutzzielkonzept

a. Ein Kernkraftwerk ist so auszulegen, dass im Normalbetrieb, bei Betriebsstörungen und bei Störfällen 1. das übergeordnete Schutzziel S4 „Begrenzung der Strahlenexposition von Mensch und Umwelt“ sowie 2. die grundlegenden Schutzziele S1 „Kontrolle der Reaktivität“, S2 „Kühlung der Brennelemente“ und S3 „Einschluss radioaktiver Stoffe“ eingehalten werden. b. Die Einhaltung der Schutzziele S1 bis S4 ist auf den Sicherheitsebenen 1 bis 3 (vgl. Kap. 4.3) durch Schutzzielfunktionen oder durch schutzzielübergreifende Aufgaben und Prozesse zu gewährleisten. c. Die Einhaltung der grundlegenden Schutzziele S1 bis S3 ist auf der Sicherheitsebene 4a durch Schutzzielfunktionen oder durch schutzzielübergreifende Aufgaben und Prozesse zu gewährleisten. d. Auf der Sicherheitsebene 4b ist die Freisetzung radioaktiver Stoffe sowohl bezüglich des Umfangs wie auch der Dauer soweit möglich und angemessen so zu begrenzen, dass 1. ausreichend Zeit für Massnahmen zum Schutz der Bevölkerung in der näheren Umgebung der Anlage besteht und 2. eine längerfristige Kontamination grösserer Flächen verhindert wird.

2 August 2019 (Änderung vom 28. Mai 2025)

4.2 Das Barrierenkonzept

a. Zur Einhaltung des Schutzziels S3 muss ein Kernkraftwerk mehrere Barrieren besitzen. b. Hinsichtlich Reaktorsicherheit bei geschlossenem Reaktor müssen dies folgende Barrieren sein: 1. die Brennstoffmatrix und die Brennstabhüllen 2. die druckführende Umschliessung des Reaktorkühlsystems 3. das Containment c. Die zum Schutz der Barrieren erforderlichen Strukturen, Systeme und Komponenten (SSK) sind derart auszulegen, dass sie, soweit möglich und angemessen, so voneinander unabhängig sind, dass bei Störfällen eine Barriere nicht als Folge des Ausfalls einer anderen Barriere versagt. d. Falls im Nicht-Leistungsbetrieb einzelne Barrieren aufgehoben werden oder nicht zur Verfügung stehen, muss der sichere Einschluss der radioaktiven Stoffe mittels der verbleibenden Barrieren und weiterer Rückhaltefunktionen gewährleistet werden.

4.3 Das Konzept der gestaffelten Sicherheitsvorsorge

a. Zur Einhaltung der Schutzziele ist eine gestaffelte Sicherheitsvorsorge gemäss Anhang 2 bestehend aus fünf hintereinander gestaffelten Ebenen von Vorkehrungen umzusetzen, von denen jeweils die nächste dazu dient, ein Versagen der Vorkehrungen der davor liegenden Ebenen aufzufangen, die Konsequenzen des Versagens zu begrenzen oder zu lindern. b. Das Konzept der gestaffelten Sicherheitsvorsorge ist für alle Anlagenzustände des Leistungs- und Nicht-Leistungsbetriebs umzusetzen. c. Schutzzielfunktionen sind durch spezifische Systeme, Ausrüstungen sowie aktive und passive Massnahmen auf den einzelnen Sicherheitsebenen (SE) umzusetzen (vgl. Anhang 2). d. Ergänzend sind schutzzielübergreifende Aufgaben und Prozesse festzulegen, die zur Einhaltung der Schutzziele notwendig sind. Dazu gehören insbesondere 1. qualitätssichernde Massnahmen bei allen Tätigkeiten in einem Kernkraftwerk und bei Herstellern von Komponenten sowie 2. Massnahmen zur Gewährleistung einer guten Sicherheitskultur und eines hohen Ausbildungsstands der Mitarbeitenden.

August 2019 (Änderung vom 28. Mai 2025) 3

e. Staffelung sicherheitsrelevanter Grössen 1 Sicherheitsgrenzen, Auslösewerte von Sicherheitssystemen und Betriebsgrenzen sind so zu staffeln, 1. dass zwischen Betriebsgrenzen und Auslösewerten von Sicherheitssystemen ein ausreichender Abstand vorhanden ist, um eine unerwünschte Auslösung von Sicherheitssystemen zu vermeiden, und 2. dass zwischen Auslösewerten von Sicherheitssystemen und Sicherheitsgrenzen ein Abstand vorhanden ist, durch den beim Auftreten des abdeckenden Lastfalls eine Verletzung von Sicherheitsgrenzen sicher verhindert wird.

5 Anforderungen an Schutzzielfunktionen

5.1 Allgemeine Anforderungen

a. SSK für Schutzzielfunktionen, die auf mehreren Sicherheitsebenen wirksam sein müssen, haben alle Anforderungen der entsprechenden Sicherheitsebenen zu erfüllen. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten. b. SSK für Schutzzielfunktionen sind auf den Sicherheitsebenen 1 bis 3 gegen die im Anforderungsfall herrschenden Umgebungsbedingungen am Aufstellungsort auszulegen. Dieses Prinzip gilt soweit technisch möglich und angemessen auch für die Sicherheitsebene 4. c. Bei Auslegung, Fertigung und Montage von SSK für Schutzzielfunktionen sind Grundsätze und Verfahren anzuwenden, die dem Stand der Technik und den besonderen Erfordernissen der Kerntechnik entsprechen. d. Durch geeignete Werkstoffwahl für SSK für Schutzzielfunktionen ist die Aktivierung von Materialen zu begrenzen. Dies betrifft insbesondere den Kobaltgehalt. e. Bei der Auslegung von SSK für Schutzzielfunktionen sind ausreichende Sicherheitszuschläge vorzusehen. f. Bei der Auslegung von SSK für Schutzzielfunktionen ist eine bedien- und instandhaltungsfreundliche Gestaltung zu berücksichtigen. Die menschlichen Fähigkeiten und deren Grenzen sind dabei zu berücksichtigen.

1 Inhalt am 17. August 2022 von der Richtlinie ENSI-G09 in die Richtlinie ENSI-G02 verschoben

4 August 2019 (Änderung vom 28. Mai 2025)

g. Für Schutzzielfunktionen sind zuverlässige und betriebsbewährte oder umfassend geprüfte Komponenten einzusetzen, die eine Instandhaltung mit bewährten Mitteln zulassen. h. Für Mehrblockanlagen müssen die Schutzzielfunktionen für jeden einzelnen Kernkraftwerksblock soweit möglich und angemessen unabhängig von denjenigen der anderen Kraftwerksblöcke sein.

5.2 Auslegungsanforderungen für die verschiedenen Sicherheitsebenen

a. SE1- und SE2-Funktionen sind so vorzusehen und auszuführen, dass ein Ansprechen von Sicherheits- oder Notstandsystemen möglichst vermieden wird. b. SE2-Funktionen sind soweit möglich und angemessen nach dem Grundsatz der Redundanz auszuführen. c. SE2-Funktionen sind soweit möglich und angemessen derart zu automatisieren, dass bei Betriebsstörungen keine Eingriffe des Personals erforderlich sind.

a. SE3-Funktionen sind grundsätzlich von Sicherheits- oder Notstandsystemen auszuführen. Der durch Sicherheits- oder Notstandsysteme auszuführende Funktionsumfang ist anlagenspezifisch festzulegen. b. SE3-Funktionen sind soweit möglich und angemessen funktional unabhängig und räumlich getrennt von den SE1- und SE2-Funktionen auszuführen. c. SE3-Funktionen sind so auszuführen, dass gegen deren Ausfall aufgrund einer gemeinsamen Ursache (Common Cause Failure) Vorsorge getroffen wird. d. Durch Notstandsysteme ausgeführte SE3-Funktionen müssen mindestens während 10 Stunden autark funktionieren. e. Die Anlage ist so auszulegen, dass zur Beherrschung von Auslegungsstörfällen in den ersten 10 Stunden grundsätzlich nur SE3-Systeme mit entsprechend qualifizierten SSK notwendig sind. Der Einsatz von anderen für die Beherrschung spezifischer Auslegungsstörfälle qualifizierter SSK in den ersten 10 Stunden ist zu begründen.

August 2019 (Änderung vom 28. Mai 2025) 5

f. SSK für SE3-Funktionen sind gegen die zum Zeitpunkt ihrer Errichtung von der Aufsichtsbehörde akzeptierten Gefährdungsannahmen durch naturbedingte und zivilisatorische Einwirkungen auszulegen oder zu schützen. g. Bei Verlust des Hauptkommandoraums müssen SE3-Funktionen von anderen Steuerstellen aus so gesteuert und überwacht werden können, dass die Anlage in einen sicheren Zustand überführt und dort gehalten werden kann. h. Werden bei Mehrblockanlagen mechanische oder elektrische Komponenten von SE3-Funktionen von mehreren Blöcken gemeinsam genutzt, ist dies zu begründen und sicherheitstechnisch zu bewerten.

5.2.2.1 Einzelfehler- und Instandhaltungskriterium (Art. 10 Abs. 1 Bst. a KEV)

a. SE3-Funktionen müssen auch bei einem beliebigen vom auslösenden Ereignis unabhängigen Einzelfehler wirksam bleiben. b. Bei passiven Komponenten kann auf die Annahme eines Einzelfehlers verzichtet werden, wenn diese nachweislich die geforderte hohe Qualität und Zuverlässigkeit besitzen. c. Das Einzelfehlerkriterium gilt im Leistungsbetrieb auch dann, wenn ein Strang von Sicherheits- oder Notstandsystemen wegen Wartung oder Prüfung nicht verfügbar ist. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten.

5.2.2.2 Redundanz und Diversität (Art. 10 Abs. 1 Bst. b KEV)

a. Der Grundsatz der Diversität ist für SE3-Funktionen soweit möglich und angemessen umzusetzen. b. Der Grundsatz der Redundanz ist für SE3-Funktionen soweit möglich und angemessen umzusetzen.

5.2.2.3 Funktionale Unabhängigkeit von redundanten Strängen (Art. 10 Abs. 1 Bst. c

KEV) a. Redundanten Strängen gemeinsame mechanische Komponenten innerhalb eines Sicherheits- oder Notstandsystems sind soweit möglich und angemessen zu vermeiden. b. Querverbindungen zwischen redundanten Strängen eines Sicherheits- oder Notstandsystems sind zulässig, sofern 1. Rohrleitungen in jedem Strang zuverlässig abgesperrt und gegen Fehlbedienung abgesichert sind,

6 August 2019 (Änderung vom 28. Mai 2025)

2. bei elektrischen Querverbindungen die Ausrüstungen selbstüberwachend sind und die Querverbindungen rückwirkungsfrei ausgeführt werden. c. Die zur Erfüllung einer SE3-Funktion eingesetzten Stränge von Sicherheits- und Notstandsystemen müssen soweit möglich und angemessen funktional voneinander unabhängig sein. Dies betrifft auch die unterstützenden Systeme wie der Leittechnik, Energieversorgung, Kühlung und Lüftung.

5.2.2.4 Räumliche Trennung von redundanten Strängen (Art. 10 Abs. 1 Bst. d KEV)

Die zur Erfüllung einer SE3-Funktion eingesetzten Stränge von Sicherheits- und Notstandsystemen sind soweit möglich und angemessen durch geeignete Massnahmen räumlich voneinander zu trennen.

5.2.2.5 Prüfbarkeit von redundanten Strängen (Art. 10 Abs. 1 Bst. e KEV)

a. Die zur Erfüllung einer SE3-Funktion eingesetzten redundanten Stränge müssen integral oder sonst in möglichst umfassenden Abschnitten sowohl mit Handsteuerung als auch mit simulierter automatischer Anregung geprüft werden können. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten. b. Im Anforderungsfall müssen auch während Prüfungen die SE3-Funktionen rechtzeitig wirksam sein.

5.2.2.6 Automatisierung (Art. 10 Abs. 1 Bst. f KEV)

a. SE3-Funktionen müssen derart automatisiert sein, dass bei Auslegungsstörfällen keine sicherheitsrelevanten Eingriffe des Personals innerhalb der ersten 30 Minuten nach dem auslösenden Ereignis erforderlich werden. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten. b. Eine SE3-Funktion ist zu automatisieren, falls dem Personal für Diagnose und Durchführung dieser Funktion nicht ausreichend Zeit zur Verfügung steht. c. Eine manuelle Rücksetz- oder Überbrückungsmöglichkeit anstehender Auslösesignale von automatisierten SE3-Funktionen ist zu begründen und sicherheitstechnisch zu bewerten.

a. Die zur Erfüllung einer SE4-Funktion eingesetzten Notfallsysteme und Notfallausrüstungen müssen geprüft werden können.

August 2019 (Änderung vom 28. Mai 2025) 7

b. SSK von SE4-Funktionen sind so auszulegen, dass diese keine unzulässic. Sind zur Inbetriebnahme von Ausrüstungen für SE4-Funktionen Eingriffe des Personals vor Ort notwendig, ist der Zugang zu diesem Ort sicherzustellen. d. Festinstallierte SSK für SE4-Funktionen sind gegenüber mobilen zu bevorzugen. e. Notfallausrüstungen müssen durch das Eigenpersonal bedienbar sein. f. Zur Betätigung von Notfallausrüstungen sind die dafür notwendigen Versorgungsfunktionen wie Strom- und Steuerluftversorgung auch im Notfall soweit möglich und angemessen sicherzustellen. g. SSK für SE4a-Funktionen sind so auszulegen, dass die Anlage bei bestimmten auslegungsüberschreitenden Störfällen ohne schweren Kernschaden in einen sicheren Zustand überführt und in diesem mit auf der Anlage vorhandenen Mitteln während mindestens 72 Stunden gehalten werden kann.

5.2.3.1 Fest installierte Notfallausrüstungen

a. SSK für SE4-Funktionen sind entsprechend ihrem Verwendungszweck gegen naturbedingte und zivilisatorische Einwirkungen auszulegen oder zu schützen. b. Komponenten und Ausrüstungen, welche ausschliesslich zur Erfüllung von SE4a-Funktionen verwendet werden, sind soweit möglich und angemessen gegenüber denen für SE3-Funktionen diversitär und funktional unabhängig auszuführen. c. Notfallausrüstungen für SE4b-Funktionen sind soweit möglich und angemessen gegenüber Ausrüstungen für SE3- und SE4a-Funktionen diversitär und funktional unabhängig auszuführen. d. SE4b-Funktionen sind bevorzugt durch passiv funktionierende Einrichtungen umzusetzen.

5.2.3.2 Mobile Notfallausrüstungen

a. Mobile Notfallausrüstungen sind so zu lagern, dass diese 1. innerhalb der verfügbaren Zeitfenster in Betrieb genommen werden können, 2. vor den Folgen des Versagens anderer SSK geschützt sind sowie 3. gegen Erdbeben und Überflutung geschützt sind.

8 August 2019 (Änderung vom 28. Mai 2025)

b. Es ist zusätzlich zu den bereits vor Ort vorhandenen Notfallausrüstungen ein externes Lager mit Notfallausrüstungen bereitzustellen. Diese müssen im Anforderungsfall auch per Helikopter zur Anlage geflogen werden können. c. Notfallausrüstungen müssen betriebserprobt sein. d. Es sind standardisierte Anschlüsse für Notfallausrüstungen zu verwenden, damit diese einfach und zuverlässig anzuschliessen oder auszutauschen sind und flexibel für verschiedene Systeme und – bei Mehrblockanlagen – für verschiedene Kraftwerksblöcke eingesetzt werden können. e. An ausgewählten Sicherheits- und Notstandsystemen sind redundante und räumlich voneinander getrennte Anschlüsse für Notfallausrüstungen anzubringen. f. Ausgewählte, auf dem Kraftwerksgelände verfügbare Einrichtungen für die robuste Bereitstellung von Kühlwasser (wie Flutbehälter und Notkühltürme) müssen über Anschlüsse verfügen, so dass eine schnelle Verfügbarkeit des Kühlwassers sichergestellt werden kann. g. Bei Mehrblockanlagen sind ausreichend Notfallausrüstungen für eine gleichzeitige Anforderung in allen Kernkraftwerksblöcken bereitzustellen.

6 Auslegungsanforderungen zum Schutz gegen Störfälle

6.1 Allgemeine Anforderungen

a. Durch Vorsorgemassnahmen ist zu gewährleisten, dass Auswirkungen von Auslegungsstörfällen sowie bestimmten auslegungsüberschreitenden Störfällen so begrenzt werden, dass die Anlage in einen sicheren Zustand überführt und in diesem gehalten sowie der Zustand der Anlage überwacht werden kann. b. Bei der Umsetzung von Vorsorgemassnahme sind 1. grundsätzlich Massnahmen zur Verhinderung von Störfällen oder zu deren Beherrschung denjenigen zur Linderung der Konsequenzen von Störfällen vorzuziehen und 2. die Strahlenschutzvorgaben gemäss Art. 123 und 125 der Strahlenschutzverordnung (StSV; SR 814.501) einzuhalten. c. Die Vorgaben von Art. 3 bis 6 der Verordnung des UVEK über die Gefährdungsannahmen und die Bewertung des Schutzes gegen Störfälle in

August 2019 (Änderung vom 28. Mai 2025) 9

Kernanlagen sind bei der Bestimmung der störfallbedingten Belastungen auf SSK zu berücksichtigen. d. Bei der Festlegung des Spektrums der bei der Auslegung zu berücksichtigenden Störfälle sind die Vorgaben der Richtlinie ENSI-A01 zu beachten. e. Folgefehler an SSK aufgrund des auslösenden Ereignisses sind bei der Auslegung zu berücksichtigen.

6.2 Intern ausgelöste Ereignisse

a. Das zu betrachtende Spektrum der intern ausgelösten Ereignisse muss die in Art. 8 Abs. 2 KEV aufgeführten Störfälle abdecken. b. Die durch intern ausgelöste Störfälle bedingten Einwirkungen auf SSK sind bei deren Auslegung zu berücksichtigen. Insbesondere sind dabei die Vorgaben gemäss Art. 4 der Verordnung des UVEK über die Gefährdungsannahmen und die Bewertung des Schutzes gegen Störfälle in Kernanlagen zu beachten. c. Für ausgewählte systemübergreifende, intern ausgelöste Ereignisse sind die in den Kapiteln 6.2.1 bis 6.2.4 aufgeführten Vorsorgemassnahmen umzusetzen.

6.2.1 Anlageinterne Brände 2

Grundlegende Auslegungsanforderungen zum Schutz gegen Brände sowie spezifische Auslegungsanforderungen zum baulichen, technischen und organisatorischen Brandschutz sind in der Richtlinie ENSI-G18 festgelegt.

6.2.2 Anlageninterne Überflutungen

a. Durch geeignete Massnahmen sind anlageninterne Überflutungen möglichst zu verhindern. Zu diesen Massnahmen gehören: 1. hochwertige Ausführung der Wasser und Dampf führenden Systeme und Komponenten (einschliesslich der Feuerlöschleitungen) 2. präzise Vorgaben für Instandhaltungsmassnahmen an Wasser und Dampf führenden Systemen und Komponenten, insbesondere bei solchen mit Überflutungspotenzial 3. hohe Zuverlässigkeit gegen Fehlauslösungen automatisch auszulösender ortsfester mittels Wasser funktionierender Löschanlagen

2 geändert am 1. Oktober 2024 aufgrund der Richtlinie ENSI-G18

10 August 2019 (Änderung vom 28. Mai 2025)

b. Es müssen Massnahmen und Einrichtungen zur Verhinderung einer unzulässigen Beeinträchtigung der Sicherheits- und Notstandsysteme vorhanden sein. Hierbei sind insbesondere die folgenden Massnahmen und Einrichtungen entsprechend einem gestaffelten Vorgehen zu berücksichtigen:

1 Leckageüberwachungseinrichtungen

2 Massnahmen zur Isolierung von Leckagen

3 Bildung von Überflutungsabschnitten zur Verhinderung der Ausbreitung von Wasser, insbesondere in Räume benachbarter Systemstränge

4. erhöhte Aufstellung von Komponenten 5. bauliche Einfassungen um Komponenten (insbesondere Auffangwannen und Abschottungen)

6 Doppelrohrausführungen

7. aktive oder passive Einrichtungen zur Entwässerung 8. organisatorische Massnahmen c. Es ist ein Konzept zum Schutz gegen interne Überflutung zu erstellen, das die Ziele des Überflutungsschutzes für die Anlage und die einzelnen Gebäudebereiche, die vorhandenen Gefährdungen und die Massnahmen zur Erreichung der Ziele des Überflutungsschutzes festlegt. Die Massnahmen sind in bauliche, technische und organisatorische Massnahmen zu unterteilen.

6.2.3 Komponentenversagen mit potenziellen Auswirkungen auf sicherheitsrelevante Einrichtungen

a. Alle potenziellen Quellen umherfliegender (hochenergetischer) oder fallender Bruchstücke (Trümmer) sowie die Auswirkungen grosser Deformationen infolge Komponentenversagens sind zu identifizieren. b. Die Parameter (insbesondere Geometrie, Masse, Trajektorie und gegebenenfalls die Trümmerwirkung) der bei einem Versagen zu erwartenden Bruchstücke sind zu analysieren oder konservativ abzuschätzen. c. Als potenzielle Quellen solcher Bruchstücke oder als Ursachen von Deformationen sind insbesondere zu berücksichtigen: 1. das Versagen von Behältern, Rohrleitungen und sonstigen Komponenten mit hohem Energieinhalt 2. das Versagen beweglicher Armaturenteile 3. der Auswurf eines Steuerelements oder Steuerstabs

August 2019 (Änderung vom 28. Mai 2025) 11

4. das Versagen rotierender Komponententeile (insbesondere Schwungradversagen der Hauptkühlmittelpumpen, Turbinenschaufeln und der Turbinenwelle) d. Zur Vermeidung unzulässiger Auswirkungen auf sicherheitsrelevante Ausrüstungen sind geeignete Massnahmen vorzusehen. Dazu gehören beispielsweise: 1. geeignete Orientierung und Positionierung der als potenzielle Quelle von Bruchstücken identifizierten Komponenten im Raum 2. geeignete räumliche Anordnung der als potenzielle Ziele von Bruchstücken identifizierten sicherheitsrelevanter Ausrüstungen

3 Wahl einer Gebäudeanordnung, bei der sicherheitsrelevante Einrichtungen nicht innerhalb der wahrscheinlichen Flugrichtung möglicher

Bruchstücke des Turbosatzes liegen 4. bauliche Einrichtungen zum Ablenken oder Zurückhalten von Trümmern

5 Ausschlagsicherungen

6 Doppelrohrkonstruktionen bei hochenergetischen Rohrleitungen

7 Drehzahlbegrenzung und Schwingungsüberwachung bei rotierenden

Komponenten

6.2.4 Absturz und Anprall von Gegenständen mit potenzieller Gefährdung

sicherheitsrelevanter Einrichtungen a. Gegenstände, die mit Hebezeugen oder Transportmitteln gehandhabt werden und deren Absturz oder unkontrollierte Bewegung zum Ausfall von sicherheitsrelevanten Einrichtungen oder zur Freisetzung radioaktiver Stoffe führen kann, sind zu identifizieren. b. Zu identifizieren sind auch Einwirkungen auf sicherheitsrelevante Einrichtungen, die durch das Umkippen schwerer oder das Anprallen pendelnder oder anderweitig bewegter Gegenstände entstehen, insbesondere auch von Transport- und Lagerbehältern. c. Es sind Vorsorgemassnahmen zu treffen, die einen Absturz, ein Umkippen oder ein Anprallen von Gegenständen weitgehend verhindern. Vorsorgemassnahmen sind unter anderem:

1 Ausschluss des Hebens unzulässiger Lasten durch geeignete technische und administrative Massnahmen

12 August 2019 (Änderung vom 28. Mai 2025)

2. konstruktive Massnahmen zum Ausschluss der Beschädigung sicherheitsrelevanter Ausrüstungen durch ein unbeabsichtigtes Herunterfallen, Umkippen oder Anprallen von Gegenständen 3. erdbebensichere Auslegung der Hebezeuge, die Lasten in Bereichen verschieben, in denen bei einem Lastabsturz sicherheitsrelevante Ausrüstungen beschädigt werden könnten oder ein Störfall ausgelöst werden könnte

4 Massnahmen zur Sicherstellung, dass Hebezeuge nur in den dafür

vorgesehenen Anlagenzuständen eingesetzt werden 5. gesichertes Parken von nicht verwendeten Hebezeugen in Bereichen, in denen beim störfallbedingten Absturz einer Komponente des Hebezeuges kein Schaden an sicherheitsrelevanten Ausrüstungen möglich ist d. Hebezeuge müssen den allgemein anerkannten Regeln der Technik genügen. e. Hebezeuge müssen nach den allgemeinen Sicherheitsvorschriften der SUVA errichtet und betrieben werden.

6.3 Extern ausgelöste Ereignisse

a. Das Spektrum der extern ausgelösten Ereignisse muss die in Art. 8 Abs. 3 KEV aufgeführten Störfälle abdecken. b. Die durch extern ausgelöste Störfälle bedingten Einwirkungen auf SSK sind bei deren Auslegung zu berücksichtigen. Insbesondere sind dabei die Vorgaben gemäss Art. 5 der Verordnung des UVEK über die Gefährdungsannahmen und die Bewertung des Schutzes gegen Störfälle in Kernanlagen zu beachten.

6.3.1 Erdbeben

a. EK-I-klassierte Systeme und Komponenten sind gegen die zum Zeitpunkt ihrer Errichtung von den Aufsichtsbehörden akzeptierten Belastungen durch das Sicherheitserdbeben (SSE) so auszulegen, dass die benötigte Funktion, Integrität oder Standsicherheit der Systeme und Komponenten gewährleistet bleibt. b. BK-I-klassierte Bauwerke sind gegen die zum Zeitpunkt ihrer Errichtung von den Aufsichtsbehörden akzeptierten Belastungen durch das SSE so auszulegen, dass deren Tragsicherheit und Gebrauchstauglichkeit gewährleistet bleibt.

August 2019 (Änderung vom 28. Mai 2025) 13

c. EK-II-klassierte Systeme und Komponenten sind gegen die zum Zeitpunkt ihrer Errichtung von den Aufsichtsbehörden akzeptierten Belastungen durch das Betriebserdbeben (OBE) so auszulegen, dass die benötigte Funktion, Integrität oder Standsicherheit der Systeme und Komponenten gewährleistet bleibt. d. BK-II-klassierte Bauwerke sind gegen die zum Zeitpunkt ihrer Errichtung von den Aufsichtsbehörden akzeptierten Belastungen durch das OBE so auszulegen, dass deren Tragsicherheit und Gebrauchstauglichkeit gewährleistet bleibt. e. Nicht zur Beherrschung eines SSE benötigte SSK dürfen keine unzulässigen Auswirkungen auf die zur Beherrschung des Erdbebens benötigten SSK haben. Ansonsten sind diese so auszulegen, dass deren Integrität und Standsicherheit beim SSE gewährleistet bleibt. f. Die Auslegung muss mögliche erdbebenbedingte Folgen wie interne Brände und interne Überflutungen berücksichtigen.

6.3.2 Externe Überflutung

a. SSK für SE3-Funktionen sind gegen die zum Zeitpunkt ihrer Errichtung von der Aufsichtsbehörde akzeptierten Gefährdungsannahmen infolge externer Überflutung auszulegen. b. Die Standsicherheit der Gebäude der Bauwerksklassen I und II muss gewährleistet sein. c. Sicherheitsrelevante Einrichtungen, die zur Beherrschung des Überflutungsereignisses notwendig sind, dürfen durch ins Gebäude eindringendes Wasser in ihrer Funktion nicht beeinträchtigt werden. d. Für bestehende Gebäude der Bauwerksklasse I und II sind soweit möglich und angemessen permanente, andernfalls zumindest temporäre und in der verfügbaren Vorwarnzeit realisierbare Hochwasserschutzmassnahmen zu treffen, so dass 1. die Gebäude bei Überflutung des Anlagengeländes zugänglich sind, 2. ein Eindringen von Wasser vermieden wird und 3. die in den Gebäuden aufgestellten sicherheitsrelevanten Einrichtungen mit Betriebsmitteln langfristig versorgt werden können. e. Für den Einsatz temporärer Hochwasserschutzmassnahmen sind organisatorische und administrative Massnahmen vorzubereiten. f. Für neu zu errichtende Gebäude der Bauwerksklassen I und II sind permanente Hochwasserschutzmassnahmen zu treffen.

14 August 2019 (Änderung vom 28. Mai 2025)

g. Für die Nachwärmeabfuhr muss eine vom Fluss unabhängige, überflutungs- und erdbebenfeste Kühlwasserversorgung vorhanden sein. h. Es ist ein Konzept zum Schutz gegen externe Überflutung zu erstellen, das die Ziele des Überflutungsschutzes, die vorhandenen Gefährdungen und die Massnahmen zur Erreichung der Ziele festlegt. Die Massnahmen sind in bauliche, technische und organisatorische Massnahmen zu unterteilen.

6.3.3 Extreme Wetterbedingungen

a. SSK für SE3-Funktionen sind gegen die zum Zeitpunkt ihrer Errichtung von den Aufsichtsbehörden akzeptierten Gefährdungsannahmen infolge extremer Winde, Tornados, Schnee und lokalem Starkregen auszulegen. b. Für Gebäude der Bauwerksklassen I und II sind unter anderem folgende durch Winde, Tornados und Schneelasten bedingten Einflussfaktoren zu berücksichtigen:

1 Windstärke

2 Böigkeit

3 Über- und Unterdruck

4 Gesamtdauer der Einwirkung

5 Wechselwirkung mit benachbarten Strukturen

6. durch Wind induzierte Geschosse c. Es sind geeignete Massnahmen gegen lokale Starkregen zu treffen. Dazu gehören: 1. ausreichend dimensionierte Entwässerungssysteme zur Aufnahme des anfallenden Regenwassers 2. abgedichtete Gebäude gegen ein mögliches Eindringen von Wasser 3. vorbereitete temporäre Schutzmassnahmen d. Es sind geeignete Massnahmen vorzusehen, damit die Anlage bei länger andauernden extremen Wetterbedingungen rechtzeitig in einen sicheren Zustand gebracht und in diesem gehalten werden kann.

August 2019 (Änderung vom 28. Mai 2025) 15

6.3.4 Blitz

6.3.4.1 Grundlegende Vorgaben

a. Die Anlage muss die Blitzschutzanforderungen für industrielle Anlagen gemäss den Vorgaben der Vereinigung Kantonaler Feuerversicherungen (VKF) erfüllen. b. Zur Umsetzung der Blitzschutz-Vorgaben sind unter anderem folgende Vorsorgemassnahmen notwendig:

1 Der äussere und innere Blitzschutz ist durch bauliche und technische

Massnahmen zu erfüllen.

2 Die klassierten Gebäude sind unter Anwendung des Prinzips eines faradayschen Käfigs zu schützen. Bei bestehenden Gebäuden ist dieses

Prinzip soweit möglich und angemessen umzusetzen. 3. Blitzschutzmassnahmen müssen Potenzialausgleich und elektromagnetische Verträglichkeit (EMV) berücksichtigen. c. Blitzeinschläge sind überall auf der äusseren Hülle der Anlage zu unterstellen. d. Die Ziele des Blitzschutzes und die Massnahmen zur Erreichung der Ziele sind in einem Konzept festzulegen. Das Blitzschutzkonzept muss bauliche, technische und organisatorische Massnahmen umfassen.

6.3.4.2 Zusätzliche Vorgaben für zu schützende Einrichtungen

a. Die blitzschutztechnisch speziell zu schützenden 1E-Ausrüstungen sind gegen Blitze mit folgenden Blitzstromparametern auszulegen:

Blitzstromparameter Ausle- Ausle- Auslegungsblitz 1 gungsblitz 2 gungsblitz 3 Stromscheitelwert Imax 50 kA 100 kA 300 kA Halbwertszeit der Rückflanke 50 μs 1 000 μs 200 μs

b. Notstandsysteme sind gegen die Auslegungsblitze gemäss Bst. a auszulegen. c. Die zur Beherrschung der Auslegungsblitze gemäss Bst. a notwendigen Ausrüstungen sind so zu schützen, dass die Reaktoranlage in einen sicheren Zustand überführt und in diesem gehalten werden kann.

16 August 2019 (Änderung vom 28. Mai 2025)

6.3.5 Anlagenexterne Explosionen und Brände

a. SSK für SE3-Funktionen sind gegen die zum Zeitpunkt ihrer Errichtung von den Aufsichtsbehörden akzeptierten Gefährdungsannahmen durch anlagenexterne Explosionen und Brände auszulegen. b. Geeignete Vorkehrungen zum Schutz gegen die Auswirkungen anlagenexterner Explosionen sind insbesondere durch robuste Auslegung von Gebäuden und baulichen Anlagenteilen sowie die Einhaltung von Sicherheitsabständen umzusetzen. c. Bei der baulichen Auslegung sind insbesondere die folgenden Einwirkungen zu berücksichtigen: 1. direkte, reflektierte und fokussierte Druckwellen

2 Zeitverlauf von Über- und Unterdruck

3 Trümmer

4 Boden- und Gebäudeschwingungen

5. thermische Einwirkungen d. Lüftungsanlagen, welche sicherheitstechnisch wichtige Systeme und Komponenten versorgen, müssen nach Explosionseinwirkungen im notwendigen Umfang funktionstüchtig bleiben. e. Als anlageexterne Brände sind insbesondere Waldbrände, Brände in nahegelegenen Industrieanlagen, in Fahrzeugen auf Strasse und Wasserwegen und der Flugzeugabsturz als Brandquellen zu berücksichtigen. f. Die Vorsorgemassnahmen gegen die Auswirkungen anlageninterner Brände (vgl. Kap. 6.2.1) gelten sinngemäss auch für anlagenexterne Brände.

7 Spezifische Auslegungsanforderungen

7.1 Reaktorabschaltsystem

a. Das Steuerstabsystem muss die Reaktorschnellabschaltung auf den Sicherheitsebenen 1 bis 3 gewährleisten. b. Auf der Sicherheitsebene 4a muss die Reaktorabschaltung durch ein zum Steuerstabsystem diversitäres System gewährleistet sein, das den Reaktor im unterkritischen Zustand halten kann. c. Für die Reaktorabschaltung gelten zusätzlich die Anforderungen gemäss Kapitel 5.5 der Richtlinie ENSI-G20.

August 2019 (Änderung vom 28. Mai 2025) 17

d. Die Kerneinbauten sind so auszulegen, dass bei einem Leck von an den Reaktordruckbehälter anschliessenden Leitungen die Kerngeometrie so erhalten bleibt, dass die Reaktorabschaltung und Kernkühlung gewährleistet bleibt. Die zu unterstellende Leckgrösse ist aufgrund bruchmechanischer Analysen abzuleiten.

7.2 Reaktorkühlsystem

a. Die Auslegung und Herstellung von sicherheitstechnisch klassierten Behältern und Rohrleitungen des Reaktorkühlsystems richten sich nach der Verordnung über sicherheitstechnisch klassierte Behälter und Rohrleitungen in Kernanlagen (VBRK; SR 732.13) sowie der Richtlinie ENSI-G11. b. Die an das Reaktorkühlsystem anbindenden Rohrleitungen sind mit Ausnahme von Messleitungen mit mindestens zwei Isolationsvorrichtungen auszuführen. Mindestens eine der Isolationsvorrichtungen muss innerhalb des Primärcontainments angeordnet sein. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten. c. Das Reaktorkühlsystem ist so auszulegen, herzustellen und zu betreiben, dass dessen Integrität auf den Sicherheitsebenen 1 bis 3 zuverlässig sichergestellt ist. Insbesondere ist sicherzustellen, dass 1. das Leck-vor-Bruch-Verhalten eingehalten wird und keine rasch fortschreitenden Risse oder Sprödbrüche auftreten sowie 2. beim zu unterstellenden Integritätsverlust einer Komponente des Reaktorkühlsystems die zur Störfallbeherrschung erforderlichen SE3- Funktionen nicht gefährdet werden. d. Für das Reaktorkühlsystem sind Auslegungsgrenzwerte insbesondere festzulegen für 1. den maximal zulässigen Druck, 2. die maximale zulässige Temperatur, 3. die maximal zulässigen Temperatur- und Drucktransienten sowie 4. die zulässigen Spannungen. e. Zur Verhinderung der Überschreitung des zulässigen Druckes des Reaktorkühlsystems sind Einrichtungen zur Druckbegrenzung und zur Überdruckabsicherung vorzusehen. f. Die Druckbegrenzung muss so ausgelegt sein, dass auch bei einem Versagen der Reaktorschnellabschaltung nach einem Störfall (ATWS) ein Versagen des Reaktordruckbehälters ausgeschlossen werden kann.

18 August 2019 (Änderung vom 28. Mai 2025)

g. Es sind geeignete Einrichtungen vorzusehen, um radioaktive und nicht radioaktive Substanzen aus dem Reaktorkühlmittel zu entfernen, einschliesslich aktivierte Korrosionsprodukte und Spaltprodukte aus dem Brennstoff. h. Eine Ansammlung von Radiolysegasen ist durch geeignete Massnahmen so zu begrenzen, dass die Integrität des Reaktorkühlsystems nicht durch zündfähige Gemische gefährdet wird.

7.3 Wasser-Dampf-Kreislauf

a. Die Frischdampf-, Speisewasser- und Turbinensysteme sind so auszulegen, dass durch Störungen in diesen Systemen die Sicherheitsgrenzwerte für den Schutz der druckführenden Umschliessung des Reaktorkühlsystem nicht gefährdet werden. b. Zur Verhinderung der Überschreitung des zulässigen Druckes der Sekundärseite der Dampferzeuger bei Druckwasserreaktoren sind Einrichtungen zur Druckbegrenzung und zur Überdruckabsicherung vorzusehen. c. Die Frischdampf- und Speisewassersysteme sind mit zuverlässigen Isolationsvorrichtungen auszurüsten. Insbesondere müssen die Schliesszeiten auf die störfallspezifischen Randbedingungen abgestimmt werden. d. Die Turbinensysteme sind mit einem Schutzsystem auszurüsten, das Störungen begrenzt und einen Turbinenzerknall verhindert. e. Bei Siedewasserreaktoren ist eine Ansammlung von Radiolysegasen durch geeignete Massnahmen so zu begrenzen, dass die Integrität des Wasser- Dampfkreislaufs nicht durch zündfähige Gemische gefährdet wird. f. Die Anforderungen von Kap. 6.2.3 sind bei der Auslegung von Komponenten des Wasser-Dampf-Kreislaufs zu beachten.

7.4 Druckentlastung

a. Die Druckentlastungsfunktion des Reaktorkühlsystems muss so ausgelegt sein, dass 1. der Druck bei SE3- und SE4a-Störfällen soweit abgesenkt wird, dass störfallspezifisch mit Notkühlsystemen respektive mobilen Notfallmitteln rechtzeitig Kühlmittel eingespeist und 2. bei SE4b-Störfällen ein Versagen des Reaktordruckbehälters bei hohem Reaktordruck möglichst ausgeschlossen werden kann. b. Die Druckentlastungsfunktion hat bei Druckwasserreaktoren folgende Bedingungen zu erfüllen:

August 2019 (Änderung vom 28. Mai 2025) 19

1 Die sekundärseitige Druckentlastung ist auf den Sicherheitsebenen 3

und 4a zu gewährleisten.

2 Das sekundärseitige Druckentlastungssystem ist so auszulegen, dass

ein fehlerhaftes Offenbleiben der Druckentlastungsventile unterbunden werden kann.

3 Das sekundärseitige Druckentlastungssystem ist so auszulegen, dass

dessen Funktion auch bei Verlust der gesamten Wechsel- und Gleichstromversorgung eingeleitet werden kann.

4 Die primärseitige Druckentlastung ist auf der Sicherheitsebene 4a zu

gewährleisten. c. Die Druckentlastungsfunktion hat bei Siedewasserreaktoren folgende Bedingungen zu erfüllen: 1. Das Druckentlastungssystem hat über diversitäre Druckentlastungsventile zu verfügen. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten.

2 Das Druckentlastungssystem ist so auszulegen, dass dessen Funktion

auch bei Verlust der Wechselstromversorgung aus der Notstromanlage und der Notstand-Notstromanlage und ohne Betreten des Primärcontainments eingeleitet werden kann.

7.5 Kernnotkühlung

a. Die Kernnotkühlung muss durch Hochdruck- und Niederdruck-Einspeisesysteme auf den Sicherheitsebenen 3 und 4a gewährleistet sein. b. Die Kernnotkühlung muss auch bei Verlust der Wechselstromversorgung aus der Notstromanlage und der Notstand-Notstromanlage sichergestellt werden. c. Die Kernnotkühlung ist auf der Sicherheitsebene 3 so auszulegen, dass die Kernkühlung bei Leckquerschnitten in an den Reaktordruckbehälter anschliessenden Leitungen bis zum vollständigen, doppelendigen Bruch sichergestellt ist. d. Die Systeme zur Kernnotkühlung sind auf der Sicherheitsebene 3 zu automatisieren und soweit möglich und angemessen aufgrund diversitärer Anregekriterien zu starten. e. Die Notkühlmittelvorräte sind bei erforderlicher Hochdruckeinspeisung auf der Sicherheitsebene 3 so zu bemessen, dass die Übernahme der Kühlmittelergänzung durch die Niederdruckeinspeisung sichergestellt ist.

20 August 2019 (Änderung vom 28. Mai 2025)

f. Zur Gewährleistung der Kernnotkühlung auf der Sicherheitsebene 4a müssen zusätzlich Notfalleinrichtungen verfügbar sein.

7.6 Nachwärmeabfuhr

a. Die Nachwärmeabfuhr aus dem Reaktorkühlsystem, den Brennelementlagerbecken und dem Containment muss auf den Sicherheitsebenen 1 bis 4a gewährleistet sein. b. Die primärseitige Nachwärmeabfuhr aus dem Reaktorkühlsystem sowie die Nachwärmeabfuhr aus den Brennelementlagerbecken und aus dem Containment müssen auf der Sicherheitsebene 3 über eine Nachkühlkette bestehend aus Nach-, Zwischen- und Nebenkühlwassersystemen sichergestellt sein. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten. c. Die Nachwärmeabfuhr muss über zwei voneinander unabhängige und diversitäre Wärmesenken sichergestellt sein. Die Nachwärmeabfuhr über mindestens eine dieser Wärmesenken ist auch nach äusseren Einwirkungen zu gewährleisten. d. Durch geeignete Materialauswahl und konstruktive Massnahmen sind Verunreinigungen im Containment gering zu halten. e. Die Strömungswege zu den Ansaugöffnungen der primärseitigen Nachwärmeabfuhrsysteme im Containment oder der Druckabbaukammer sind so zu gestalten, dass sie bei einem SE3-Kühlmittelverluststörfall weder durch Bruchstücke beschädigt noch durch mitgerissene Materialien verstopft werden können. Für die Sicherstellung der langfristigen Nachwärmeabfuhr sind Massnahmen zur Vermeidung einer Verstopfung der Ansaugöffnungen vorzusehen. f. Zur sekundärseitigen Nachwärmeabfuhr auf der Sicherheitsebene 3 müssen Druckwasserreaktoren über Not- und Notstandspeisewassersysteme zur Dampferzeugerbespeisung verfügen. Hierfür sind ausreichende Deionatvorräte für einen Zeitraum von mindestens 10 Stunden zur Verfügung zu stellen. g. Die Systeme zur Nachwärmeabfuhr sind so auszulegen, dass die Anlage in den kalt abgestellten Zustand überführt und in diesem gehalten werden kann. h. Zur Gewährleistung der Nachwärmeabfuhr auf der Sicherheitsebene 4a aus dem Reaktorkühlsystem, den Brennelementlagerbecken und dem Containment müssen zusätzlich Notfalleinrichtungen verfügbar sein.

August 2019 (Änderung vom 28. Mai 2025) 21

7.7 Containment

a. Kernkraftwerke benötigen ein Containment bestehend aus dem Primärcontainment und dem umgebenden Gebäude (Sekundärcontainment). b. Das Containment muss die folgenden Schutzzielfunktionen sicherstellen:

1 Rückhaltung der radioaktiven Stoffe

2 Schutz des Reaktorkühlsystems gegen externe Ereignisse und unbefugte Einwirkungen

3 Abschirmung der Strahlung

c. Das Containment muss über Systeme zur Containment-Isolation, zur Rückhaltung der radioaktiven Stoffe, zur Lüftung und Unterdruckhaltung, zur Containment-Probeentnahme, zum Abbau zündfähiger Gase (sofern nicht inertisiert) und zur gefilterten Druckentlastung verfügen. d. Massnahmen zum Abbau zündfähiger Gase müssen vornehmlich auf passiv wirkenden Systemen und Komponenten beruhen.

7.7.1 Primärcontainment

a. Das Primärcontainment muss die druckführende Umschliessung des Reaktorkühlsystems sowie grundsätzlich die unter hohem Druck stehenden, Reaktorkühlmittel führenden Komponenten beinhalten. Bei Letzteren sind Ausnahmen zulässig, sofern Leitungsbrüche oder Leckagen ausserhalb des Containments sicher abgesperrt werden können. b. Das Primärcontainment ist so auszulegen und zu schützen, dass dessen Integrität zuverlässig gewahrt bleibt. Insbesondere sind neben den betrieblichen Lasten auf den Sicherheitsebenen 1 und 2 die aus den Störfällen der Sicherheitsebenen 3 und 4a resultierenden Temperatur- und Druckbelastungen zu berücksichtigen. Das Primärcontainment ist sowohl gegen Über- als auch Unterdruck auszulegen. c. Für das Primärcontainment ist eine maximal zulässige Leckrate für die unter Bst. b genannten Belastungen festzulegen. d. Die Anzahl der Durchführungen des Primärcontainments ist so gering wie möglich zu halten. Alle Durchführungen müssen dieselben Anforderungen wie das Primärcontainment selbst erfüllen. e. Der Personenzugang zum Primärcontainment muss über Schleusen erfolgen, deren Türen im Leistungsbetrieb gegenseitig verriegelt sind. Die Verriegelung kann während Revisionen aufgehoben werden, falls die Schleusentüren auch bei Ausfall der Stromversorgung ausreichend schnell geschlossen werden können.

22 August 2019 (Änderung vom 28. Mai 2025)

f. Die Isolationsfunktion des Primärcontainments muss so ausgelegt sein, dass sie in allen Betriebszuständen auf den Sicherheitsebenen 3 und 4a mit hoher Zuverlässigkeit gewährleistet ist. Dabei gilt:

1 Alle Leitungen, die das Primärcontainment durchdringen und Teil der

druckführenden Umschliessung des Reaktorkühlsystems sind oder offen im Containment enden, müssen mindestens über zwei Isolationsvorrichtungen in Reihe verfügen. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten.

2 Alle übrigen Leitungen, die das Primärcontainment durchdringen, mit

Ausnahme von Kleinleitungen und Messleitungen, sind mit mindestens einer Isolationsvorrichtung auszurüsten. Die Isolationsvorrichtungen sind so nah wie möglich am Containment anzuordnen und müssen die Anforderungen für SE3- und SE4a-Funktionen erfüllen. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten.

3 Die unter Ziff. 1 genannten Leitungen müssen auch bei Verlust der

Wechselstromversorgung aus der Notstromanlage und der Notstand- Notstromanlage absperrbar sein. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten. g. Falls ein Ereignis zu einer Umgehung des Containments führt (Containment- Bypass-Sequenzen), sind Vorkehrungen zu treffen, dass dabei ein Kernschmelzunfall mit hoher Zuverlässigkeit verhindert wird. h. Zum Schutz des Primärcontainments auf der Sicherheitsebene 4b ist eine gefilterte Druckentlastung vorzusehen. Ein Unterdruckversagen des Primärcontainments infolge der Druckentlastung ist zu verhindern. Die spezifischen Auslegungsvorgaben gemäss Anhang 3 sind zu berücksichtigen. i. Zum Schutz des Primärcontainments vor den Auswirkungen einer Beton- Schmelze-Wechselwirkung auf der Sicherheitsebene 4b sind Strategien und Notfallmassnahmen vorzubereiten, die dazu dienen, das Versagen des Reaktordruckbehälters nach Möglichkeit zu verhindern und eine Beton- Schmelze-Wechselwirkung nach einem Versagen des Reaktordruckbehälters zu begrenzen und langfristig zu stoppen.

7.7.2 Sekundärcontainment

a. Das Sekundärcontainment muss das Primärcontainment sowie die darin befindlichen Einrichtungen gegen unzulässige Folgen bei den für die Anlage auf den Sicherheitsebenen 1 bis 4a zu unterstellenden Einwirkungen von ausserhalb des Primärcontainments schützen. b. Das Sekundärcontainment ist so auszulegen, dass aus dem Primärcontainment respektive aus aktivitätsführenden Systemen und Komponenten

August 2019 (Änderung vom 28. Mai 2025) 23

freigesetzte radioaktive Stoffe innerhalb des Sekundärcontainments entweder zurückgehalten, ins Primärcontainment zurückgepumpt oder kontrolliert an die Umgebung abgegeben werden.

7.8 Baustrukturen

7.8.1 Grundlegende Anforderungen

a. Die Baustrukturen sind so auszulegen und in einem solchen Zustand zu halten, dass die in Abhängigkeit der sicherheitstechnischen Bedeutung spezifizierten Lasten auf den Sicherheitsebenen 1 bis 4a abgetragen werden. b. Die Auslegung der Baustrukturen muss 1. die Anforderungen des Strahlenschutzes, 2. die Anforderungen des Brand- und Blitzschutzes sowie 3. die Anforderungen der Sicherung berücksichtigen. c. Zur Bestimmung der durch innere und äussere Einwirkungen und ihre Kombination bedingten Auswirkungen auf Bauwerke ist das Konzept der SIA- Norm 260 mit andauernden, vorübergehenden und aussergewöhnlichen Bemessungssituationen zu verwenden. Dabei sind generell die Lastbeiwerte nach SIA-Norm 260 zu berücksichtigen. d. Für andauernde und vorübergehende Bemessungssituationen sind die folgenden Einwirkungen zu betrachten:

1 Einwirkungen bei Betrieb auf der Sicherheitsebene 1

2 Einwirkungen bei Abweichungen vom Normalbetrieb auf der Sicherheitsebene 2

3 Einwirkungen bei Auslegungsstörfällen mit Ursprung innerhalb der Anlage auf der Sicherheitsebene 3 mit Ausnahme von Brand, Explosion

und Absturz schwerer Lasten e. Für aussergewöhnliche Bemessungssituationen sind die folgenden Einwirkungen zu betrachten:

1 Einwirkungen bei Brand, Explosion und Absturz schwerer Lasten mit

Ursprung innerhalb der Anlage auf der Sicherheitsebene 3

2 Einwirkungen mit Ursprung ausserhalb der Anlage auf der Sicherheitsebene 3

3 Einwirkungen auf der Sicherheitsebene 4a

24 August 2019 (Änderung vom 28. Mai 2025)

f. Einwirkungen, die nicht spezifisch für das Kernkraftwerk festgelegt wurden, sind der SIA-Norm 261 zu entnehmen.

7.8.2 Tragsicherheit und Gebrauchstauglichkeit

a. Für die der Auslegung entsprechenden Auswirkungen (u. a. Beanspruchungen und Verformungen) sind durch Tragsicherheitsnachweise folgende Kriterien nachzuweisen: 1. die Gesamtstabilität des Bauwerks (Kippen, Gleiten und Grundbruch, globales Bauwerksversagen) 2. die Tragsicherheit der einzelnen tragenden Bauteile b. Für die der Auslegung entsprechenden Auswirkungen ist durch Gebrauchstauglichkeitsnachweise aufzuzeigen, dass die an das Bauwerk gestellten Anforderungen betreffend Gebrauchs- und Funktionstauglichkeit eingehalten werden. Kriterien für die Beurteilung der Gebrauchstauglichkeit sind insbesondere: 1. ausreichende Dichtheit von Bauteilen mit Barrierenfunktion

2 Begeh- und Benutzbarkeit von Räumen, die für die Störfallbeherrschung erforderlich sind

3. zulässige Rissbreiten in Verankerungszonen von sicherheitsrelevanten Systemen und Komponenten 4. ausreichende Breite von Gebäudefugen 5. zulässige Verschiebungen von Kompensatoren bei Gebäudedurchdringungen 6. zulässige Erschütterungen oder Verschiebungen von Systemen und Komponenten in Gebäuden c. Die Nachweise haben grundsätzlich gemäss den SIA-Normen 260 bis 267 zu erfolgen. Andere Normen dürfen verwendet werden, wenn deren Nachweiskonzept und deren Anforderungen mit den Normen des SIA kompatibel und vergleichbar sind. d. Für die Sicherheitsebenen 1 bis 4a sind die entsprechenden Kriterien betreffend Tragsicherheit und Gebrauchstauglichkeit einzuhalten. e. In den Nachweisen der Befestigungen von Systemen und Komponenten ist die Reduktion des Tragwiderstands infolge Rissbildung im Beton zu berücksichtigen.

August 2019 (Änderung vom 28. Mai 2025) 25

7.8.3 Erdbeben

a. Der Einfluss der Interaktion zwischen Boden und Bauwerk ist zu erfassen. Dabei ist ein Bodenmodell mit mittleren Messwerten der Baugrundeigenschaften zu verwenden. Die Streuung und die Unsicherheit der Bodenkennwerte sind durch eine angemessene Variation der Parameter zu berücksichtigen. b. Die Bodenbewegung im Referenzpunkt muss den zum Zeitpunkt der Errichtung der Baustruktur von der Aufsichtsbehörde akzeptierten Gefährdungsannahmen entsprechen. Der Referenzpunkt für die Boden-Bauwerks-Interaktion ist auf der Geländeoberfläche oder auf dem Fundamentniveau zu wählen. c. Die Materialdämpfung und die dynamische Steifigkeit des Baugrunds müssen entsprechend der Stärke der betrachteten Erdbebeneinwirkung und den daraus folgenden Verformungen im Boden angenommen werden. Analog sind realistische, dem betrachteten Auswirkungsniveau entsprechende Annahmen für die Steifigkeit und die Dämpfung der Baustrukturen zu verwenden. d. Aus den durch Erdbeben verursachten Schwingungen des Bauwerks sind die Erdbebeneinwirkungen auf Systeme und Komponenten abzuleiten und entweder in Form von Zeitverläufen der Beschleunigung oder in Form von Etagenantwortspektren am Aufstellort zu bestimmen. e. Die Erdbebenberechnung hat in der Regel mit Hilfe des Antwortspektrenverfahrens oder mit einer linearen Zeitverlaufsberechnung zu erfolgen. Vorzugsweise sind die Auswirkungen anhand von 3D-Gebäudemodellen zu berechnen. In begründeten Fällen können vereinfachte 2D-Modelle verwendet werden. f. Die Erdbebeneinwirkungen sind in der Regel in drei orthogonalen Richtungen gleichzeitig wirkend anzunehmen. Die Richtungsüberlagerung und die modale Überlagerung haben mit anerkannten Methoden zu erfolgen. Die Schwingungsformen, die wesentlich zum globalen Schwingungsverhalten beitragen, sind zu berücksichtigen. g. Es ist grundsätzlich ein linear-elastisches Strukturverhalten im Bauwerk anzustreben. In begründeten Ausnahmefällen ist ein nichtlineares Strukturverhalten zulässig. In diesem Fall sind dafür geeignete nichtlineare Berechnungsverfahren zu verwenden. h. Der Einfluss der Annahmen bei Modell- und Materialparametern auf die Variation der Berechnungsergebnisse ist zu berücksichtigen.

26 August 2019 (Änderung vom 28. Mai 2025)

7.9 Steuerstellen

7.9.1 Technische Vorgaben

a. Der Hauptkommandoraum muss als bevorzugte Steuerstelle über die notwendigen Ausrüstungen für die Überwachung und die zentrale Steuerung der Anlage im Normalbetrieb, bei Betriebsstörungen und bei Störfällen verfügen. Die Ausrüstungen für Störfallsituationen sind dabei mit den Ausrüstungen in der Notsteuerstelle abzustimmen. b. Es ist eine vom Hauptkommandoraum örtlich, funktionell und elektrisch getrennte Notsteuerstelle vorzusehen, die gegen externe Ereignisse und unbefugte Einwirkungen besonders geschützt sein muss. Diese kann in mehrere voneinander örtlich getrennte Steuerstellen aufgeteilt sein. c. Von der Notsteuerstelle aus muss der Reaktor im Notstandfall abgeschaltet, unterkritisch gehalten und die Nachwärme abgeführt werden können. Die Notsteuerstelle muss über eine entsprechende Instrumentierung für die Beurteilung des Anlagezustandes verfügen. d. Der Hauptkommandoraum und die Notsteuerstelle sind sowohl gegen Direktstrahlung als auch gegen das Eindringen luftgetragener radioaktiver Stoffe sowie gegen Brandeinwirkungen zu schützen. e. Mindestens die Reaktorschnellabschaltung, die Containment-Isolation, das schnelle Abfahren der Anlage und die Notstromversorgung müssen unabhängig von den automatischen Auslösungen auch manuell vom Hauptkommandoraum und, soweit zur Störfallbeherrschung notwendig, auch von der Notsteuerstelle aus ausgelöst werden können. f. Es ist sicherzustellen, dass unbefugte Eingriffe und Fehlbedienungen im Hauptkommandoraum oder in anderen nicht besonders geschützten Anlagebereichen nicht zu einer unzulässigen Beeinträchtigung der Funktion von Notstandsystemen führen.

7.9.2 Ergonomische Vorgaben

a. Arbeitsplätze und Arbeitsabläufe für Bedienung und Unterhalt sowie für Funktions- und Wiederholungsprüfungen in den Steuerstellen sind unter Berücksichtigung ergonomischer Gesichtspunkte so zu gestalten, dass ein sicherheitsgerichtetes Verhalten des Personals erleichtert wird. b. Die Ausrüstungen der Steuerstellen haben die notwendige Information in visueller und wo angemessen in akustischer Form bereitzustellen. Die Ausrüstungen haben alle relevanten Betriebszustände abzubilden und alle

August 2019 (Änderung vom 28. Mai 2025) 27

sicherheitsrelevanten Abweichungen von den normalen Zuständen anzuzeigen und zu melden. c. Die Anzeigen der Steuerstellen sind so zu gestalten, dass eine rasche Übersicht über die notwendige Information sichergestellt ist. d. Werden von einer Steuerstelle Systeme oder Teilsysteme automatisch gestartet, so ist diese Steuerstelle mit der notwendigen Information zur Überwachung dieser Systeme und der Auswirkungen auf die Anlage auszustatten. e. Bei der Auslegung der Steuerstellen sind Massnahmen gegen Fehlbedienungen zu ergreifen. f. Die ergonomische Auslegung der Steuerstellen hat die menschlichen Fähigkeiten und deren Grenzen zu berücksichtigen. Dazu sind unter anderem die Beleuchtung, Akustik und Klimatisierung der Steuerstellen so auszulegen, dass ein optimales Arbeiten auch über längere Zeitperioden möglich ist. Folgende Aspekte sind zu beachten:

1 Die Bedien- und Anzeigeelemente der Steuerstellen sind als Teil einer

übersichtlichen grafischen Darstellung anzuordnen und zu beschriften. Die Darstellung soll sich auf Örtlichkeiten, verfahrenstechnische Prozesse, maschinentechnische und elektrische Strukturen sowie logische Abläufe beziehen.

2 Bei Visualisierungssystemen, Bildschirmanzeigen und anderen anzeigenden Komponenten ist gleichartige Prozessinformation bevorzugt

mit gleicher Symbolik und gleicher Farbgebung darzustellen.

3 Die zur Bedienung und Überwachung der Anlage erforderlichen Unterlagen und Hilfsmittel sind an den Arbeitsplätzen der Steuerstellen so

anzuordnen, dass dadurch die Arbeitsabläufe optimiert werden.

7.10 Leittechnik

7.10.1 Grundlegende Anforderungen an Leitanlagen

a. Die Zuordnung der Leitanlagen zu den einzelnen Sicherheitsebenen muss sich nach den Systemen richten, die durch die Leitanlagen angesteuert werden. b. Zur Gewährleistung des gestaffelten Sicherheitskonzepts müssen

1 SE2-Leitanlagen soweit möglich und angemessen unabhängig von

SE1-Leitanlagen sein, so dass bei Ausfällen von SE1-Leitanlagen die Funktionen der SE2-Leitanlagen erhalten bleiben und

28 August 2019 (Änderung vom 28. Mai 2025)

2 SE3-Leitanlagen so unabhängig sein, dass bei Ausfällen in SE1- oder

SE2-Leitanlagen die Funktionen der SE3-Leitanlagen erhalten bleiben. c. Es sind Massnahmen zur Vermeidung von Ausfällen aufgrund gemeinsamer Ursache (Common Cause Failure) zwischen Leitanlagen verschiedener Sicherheitsebenen und zwischen SE3-Leitanlagen zu ergreifen. d. Konzentrationen von Funktionen der Kategorie A gemäss Richtlinie ENSI- G01 auf zentrale Leittechnikkomponenten wie Prozessoren, Ein- und Ausgabemodule sind nur zulässig, wenn die funktionale Diversität gewährleistet bleibt. Zur Gewährleistung der funktionalen Diversität ist für diese zentralen Leittechnikkomponenten eine Aufteilung auf unabhängige Teilsysteme vorzunehmen. e. Für Regelungs- und Begrenzungsfunktionen, die den Kategorien B oder C zugeordnet sind und das Anlageverhalten wesentlich beeinflussen, ist eine Konzentration auf zentrale Leittechnikkomponenten zu vermeiden. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten. f. Die Zusammenlegung gestaffelter Funktionen auf den Sicherheitsebenen 1 und 2 (insbesondere Begrenzungen als nachgelagerte Funktionen zu Regelungen) in einzelnen zentralen Leittechnikkomponenten ist zu vermeiden. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten. g. Bei mehrkanaligem Aufbau von Funktionssträngen von Funktionen der Sicherheitsebenen 1 und 2 ist die Aufteilung auf unabhängige und physisch getrennte Teilsysteme durchgängig beizubehalten. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten. h. Die Leitanlagen der Notstandsysteme sind unabhängig von denen des Nicht- Notstandbereichs auszuführen. Die Unabhängigkeit betrifft auch die benötigten Hilfssysteme wie Stromversorgung und Lüftung. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten. i. Beim Einsatz programmierbarer Leittechnik sind alle SE3-Funktionen bezüglich der programmierten Systemteile mit diversitärer Gerätetechnik auszuführen. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten. j. Bei Querverbindungen zwischen redundanten Strängen von SE3-Leitanlagen sind die Ausrüstungen selbstüberwachend und die Querverbindungen rückwirkungsfrei auszuführen. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten. k. 1E-klassierte leittechnische Ausrüstungen müssen selbstüberwachend ausgeführt und während des Normalbetriebs ohne Einschränkung der Funktion

prüfbar sein. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten.

August 2019 (Änderung vom 28. Mai 2025) 29

l. 0E-klassierte leittechnische Ausrüstungen mit programmierbarer Leittechnik müssen selbstüberwachend ausgeführt und während des Normalbetriebs ohne Einschränkung der Funktion prüfbar sein. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten. m. Für leittechnische Funktionen der Kategorie A und Begrenzungsfunktionen der Kategorie B ist die Prüfung der gesamten Funktionskette einer Redundanz vom Sensor bis zum Aktuator zu ermöglichen, gegebenenfalls aufgeteilt in einzelne Teilprüfungen. n. Die Auslegung leittechnischer Ausrüstungen mit programmierbarer Leittechnik muss die Anforderungen der Richtlinie HSK-R-46 berücksichtigen. o. Die Stromversorgung der Leitanlagen mit Leittechnikfunktionen der Kategorien A bis C ist gemäss Kap. 7.12.4 auszuführen. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten.

7.10.2 Vorrangbildung von Signalen

a. Die Vorrangbildung von Auslöse- und sonstigen Steuerungssignalen von Leittechnik-Funktionen ist so auszulegen, dass sie insbesondere folgende Merkmale aufweist:

1 Vorrang bestimmter Bedienorte gegenüber anderen Bedienorten

2 Vorrang von SE3-Funktionen gegenüber sicherheitsbezogenen Funktionen

3 Vorrang von sicherheitsbezogenen gegenüber den übrigen betrieblichen Funktionen

4 Vorrang von automatisierten SE3-Funktionen gegenüber manuellen

Funktionen Abweichungen sind zu begründen, sicherheitstechnisch zu bewerten und in die entsprechenden Vorschriften aufzunehmen. b. Dienen mehrere Leitanlagen der Ansteuerung derselben Systeme oder Komponenten oder zur Erfüllung derselben Schutzzielfunktionen, sind der Vorrang zur Auslösung und die Unterbindung nicht-vorrangiger Funktionen eindeutig festzulegen und zu begründen.

30 August 2019 (Änderung vom 28. Mai 2025)

7.11 Instrumentierung und Anzeigesysteme

7.11.1 Allgemeine Anforderungen

a. Es ist eine Instrumentierung für die Sicherheitsebenen 1 bis 4 vorzusehen und entsprechend ihrem Verwendungszweck gegen die betrieblichen und störfallbedingten Einwirkungen auszulegen oder zu schützen. b. Alle für die Anlagenüberwachung erforderlichen Signale sind mit demselben Zeitsignal zu synchronisieren. c. Die Messbereiche der Instrumentierung sind so zu wählen, dass die im Normalbetrieb auftretenden und die für Störfällen analytisch ermittelten Parameterwerte mit ausreichendem Zuschlag abgedeckt werden. d. Die Messwerte sind als Momentanwerte und grundsätzlich mittels Verlaufsanzeigen darzustellen. Die Verlaufsanzeigen müssen eine für die Verlaufserkennung geeignete zeitliche Auflösung besitzen. e. Für die Anlagenüberwachung bei Störfällen sind zumindest die Messgrössen nach Anhang 4 im Hauptkommandoraum anzuzeigen. In der Notsteuerstelle müssen die Messgrössen angezeigt sein, die bei den von dort aus abzudeckenden Störfällen für die Gesamtübersicht über den Anlagezustand notwendig sind. f. Die Stromversorgung der Ausrüstungen der radiologischen Anlagenüberwachung für Störfälle ist gemäss Kap. 7.12.4 auszuführen. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten g. Weitere Anforderungen an die radiologische Anlagenüberwachung sind in der Richtlinie ENSI-G13 festgelegt.

7.11.2 Betriebsinstrumentierung und Anlageinformationssysteme

a. Es ist eine Betriebsinstrumentierung vorzusehen, die auf den Sicherheitsebenen 1 und 2 jederzeit einen ausreichenden Überblick über den Zustand der Anlage und die ablaufenden relevanten Prozesse ermöglicht. b. Die Betriebsinstrumentierung hat die relevanten Betriebsparameter anzuzeigen, zu überwachen und zu registrieren.

7.11.2.1 Anlageinformationssystem

a. Die relevante Information der Sicherheitsebenen 1 und 2 aus der Anlage ist sowohl in direkter als auch in verdichteter Form in einem Anlageinformationssystem (ANIS) darzustellen. Die Darstellung muss einen übersichtlichen Einblick in die Prozessabläufe ermöglichen.

August 2019 (Änderung vom 28. Mai 2025) 31

b. Bei der Auslegung des ANIS ist zu berücksichtigen, dass das System auch bei Störungen und bei Störfällen mit einer sehr hohen Datenmenge nicht überlastet wird.

7.11.2.2 Safety Parameter Display System

a. Für jedes Kernkraftwerk ist ein Safety Parameter Display System (SPDS) erforderlich, das eine schnelle Übersicht zur Beurteilung folgender Aspekte des Anlagezustands und der Schutzzieleinhaltung erlaubt:

1 Wirksamkeit der Reaktorabschaltung (Unterkritikalitätskontrolle)

2 Zustand der Kernkühlung und Nachwärmeabfuhr

3 Wirksamkeit der primär- und bei Druckwasserreaktoren auch der sekundärseitigen Druckbegrenzungs- und Druckentlastungsmassnahmen

4 Wirksamkeit der Containmentisolation

5 Bedingungen im Primär- und Sekundärcontainment

b. Das SPDS muss mindestens die Anforderungen der Sicherheitsebene 2 erfüllen. c. Das SPDS ist entweder im ANIS zu integrieren oder eigenständig zu realisieren. d. Die Alarmindikationen bezüglich der in Bst. a aufgeführten Sicherheitsaspekte sowie die Indikation für einen Ausfall des SPDS müssen auf den Anzeigeeinheiten permanent darstellbar sein. Die zugehörigen Alarme sind anzuzeigen und im Zeitfolgemeldesystem aufzuzeichnen. e. Die Signale für die Beurteilung der Einhaltung der grundlegenden Schutzziele sind vorzugsweise von Signalen der Störfallinstrumentierung abzuleiten. f. Die Einrichtungen des SPDS sind auf die entsprechenden Umgebungsbedingungen am Aufstellort auszulegen. g. Die Stromversorgung des SPDS ist gemäss Kap. 7.12.4 auszuführen. h. Das SPDS muss auf separaten Anzeigen im Hauptkommandoraum aufgeschaltet sein. Bei Einzelausfällen von Anzeigeeinheiten im Hauptkommandoraum müssen andere Anzeigen zur Verfügung stehen.

7.11.3 Störfallinstrumentierung

a. Es ist eine Störfallinstrumentierung vorzusehen, die

32 August 2019 (Änderung vom 28. Mai 2025)

1. ausreichende Information über den Zustand der Anlage liefert, um die erforderlichen Schutzmassnahmen für Personal und Anlage ergreifen und deren Wirksamkeit feststellen zu können, 2. die Verfolgung und Dokumentation des Störfallablaufes ermöglicht und 3. eine Abschätzung der Auswirkungen auf die Umgebung gestattet. b. Auf der Sicherheitsebene 4b sind soweit möglich und angemessen durch weiterhin verfügbare Instrumente Aussagen zu den Zielen gemäss Bst. a anzustreben. Die Anforderungen an die Verwendung dieser Instrumente sind in Kapitel 8.3.5 der Richtlinie ENSI-B12 festgelegt. c. Die Störfallanzeigen sind zu unterteilen in Störfallübersichtsanzeigen und Störfalldetailanzeigen, wobei 1. die Störfallübersichtsanzeigen und die zugehörigen Messwertaufzeichnungen die wesentlichen, den Zustand der Anlage bei Störfällen beschreibenden Messgrössen anzeigen und 2. die Störfalldetailanzeigen die Funktionsüberwachung der einzelnen SE3-Einrichtungen und der zugehörigen Hilfssysteme gewährleisten müssen. d. Es sind mindestens die im Anhang 4 aufgeführten Messgrössen als Teil der Störfallübersichtsanzeigen zu erfassen. e. Für die Störfallinstrumentierung muss jede Komponente der Messkette gegen die ortspezifischen Störfallbedingungen ausgelegt sein. f. Die Stromversorgung der Störfallübersichtsanzeigen und der zugehörigen Messwertaufzeichnung ist gemäss Kap. 7.12.4 auszuführen. g. Bei Verlust der Wechselstromversorgung aus der Notstromanlage und der Notstand-Notstromanlage muss die Stromversorgung der Störfallübersichtsanzeigen durch Notfallaggregate vor Erschöpfung der Batteriekapazität sichergestellt werden können. h. Die Anzeigeeinrichtungen der Störfallübersichtsanzeigen und die dazugehörigen Störfallaufzeichnungsgeräte sind eindeutig und gut sichtbar zu markieren. i. Für jedes Störfallinstrument sind zumindest folgende Angaben zu dokumentieren:

1 Messorte und Anzahl Messsensoren für jede sicherheitsrelevante

Messgrösse

2 Messbereich

3 Stromversorgung

August 2019 (Änderung vom 28. Mai 2025) 33

4 Auslegungs- und Qualifizierungsdaten

5 Anzeige- und Ableseort

6 Alarm- und Auslösegrenzwerte (falls relevant)

7 Angaben zu Redundanzgrad und alternativen Messmöglichkeiten bei

Ausfall des Instruments

7.11.4 Gefahrmeldeanlagen

a. Die Gefahrmeldeanlagen (GMA) sind so auszulegen, dass folgende gestaffelte Alarm- und Auslösegrenzwerte angezeigt werden:

1 Voralarmgrenzwerte bei Abweichungen vom Normalbetrieb

2 Auslösegrenzwerte für automatisierte Begrenzungsfunktionen und

Überwachungsfunktionen für vorgeschriebene Handeingriffe

3 Alarmgrenzwerte für SE3-Systeme

4 Auslösegrenzwerte für SE3-Systeme

b. Die Alarm- und Auslösegrenzwerte der GMA sind im Hauptkommandoraum mittels optischer und akustischer Alarmsignale anzuzeigen. c. Die Alarmierung in anderen Steuerstellen ist festzulegen und zu begründen. d. Die GMA muss mittels Sammelmeldungen oder Einzelmeldungen die Gefährdung von Schutzzielfunktionen signalisieren. e. Die Stromversorgung der 1E- oder 0E-klassierten Ausrüstungen der GMA ist gemäss Kap. 7.12.4 auszuführen. f. Die GMA ist mit einer gegenüber dem ANIS unabhängigen Leitanlage zu realisieren. Die Anforderungen von Kap. 7.10.1 sind zu beachten. g. Bei einem Ausfall der Gefahrmeldeanlage müssen die entsprechenden Meldungen im Hauptkommandoraum durch Gefahrmeldeanzeigen auf dem ANIS gewährleistet sein. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten. h. Je nach Konzept der Notsteuerstelle, einschliesslich der Ausrüstungen für den örtlichen Steuerstellenbereich des Notstandsystems, sind auch in diesen Steuerstellenbereichen Funktionen einer GMA zu realisieren.

7.11.5 Erdbebeninstrumentierung

a. Es ist eine Erdbebeninstrumentierung vorzusehen, die folgende Anforderungen erfüllt:

34 August 2019 (Änderung vom 28. Mai 2025)

1. Erdbebenbedingte Boden- und Strukturerschütterungen sind an repräsentativen Punkten des Kernkraftwerks zu erfassen und zu archivieren, so dass eine Auswertung möglich ist. 2. Die erdbebenbedingten Boden- und Strukturerschütterungen einschliesslich Einschwingvorgang (pre-recording) sind kontinuierlich aufzuzeichnen. Eine Überschreitung festgelegter Grenzwerte für repräsentative Messstandorte der Anlage ist zu alarmieren.

3 Der Zeitverlauf der erdbebenbedingten Boden- und Strukturerschütterung ist in drei orthogonalen Richtungen zu messen. Der Messbereich

muss Beschleunigungswerte umfassen, welche die gültigen SSE-Auslegungswerte am Messort mit einem ausreichenden Reservefaktor abdecken. b. Die Standorte für die Messeinrichtungen sind so zu wählen, dass aus den Messergebnissen sowohl die Erdbebeneinwirkungen als auch die Erdbebenauswirkungen beurteilt werden können (Freifeld, Fundamentniveau des Reaktorgebäudes und allenfalls von anderen Bauten der Bauwerksklasse BK I, relevante Punkte der Tragstruktur). Die Wahl der instrumentierten Gebäudeteile ist zu begründen. c. Bei einem Erdbeben muss ein Vergleich der Antwortspektren mit dem Auslegungsspektrum möglich sein. d. Die relevanten Ausrüstungsteile der Instrumentierung müssen für die am Aufstellort spezifizierten Umgebungsbedingungen (Normalbetriebs- und Störfallbedingungen) und das Sicherheitserdbeben (SSE) qualifiziert sein, einschliesslich der Ausrüstungen für die lokale Speicherung der Messwerte. e. Der Mindestumfang der lokalen oder zentralen Speicherkapazität muss für alle während 7 Tagen registrierten Ereignisdaten ausreichen. f. Bei Ausfall der Fremdstromversorgung der lokalen Instrumente sind eine minimale lokale Registrierbereitschaft über mindestens 48 Stunden und ein minimaler Systembetrieb zu gewährleisten. Die gespeicherten Daten müssen bei Stromausfall gespeichert bleiben. Die lokal gespeicherten Daten müssen jederzeit lokal ausgelesen und ausgewertet werden können. g. Die Stromversorgung der zentralen Instrumentierungsausrüstungen ist gemäss Kap. 7.12.4 auszuführen. h. Die Instrumentierungsausrüstung muss in der Lage sein, erdbebenbedingte Erschütterungen eindeutig von Erschütterungen anderer Ursache zu unterscheiden. Nur die erdbebenbedingten Erschütterungen sollen beim Überschreiten der Grenzwerte zur Alarmierung der Schichtmannschaft führen.

August 2019 (Änderung vom 28. Mai 2025) 35

i. Ein Überschreiten der Grenzwerte gemäss Bst. a Ziff. 2 ist im Hauptkommandoraum mittels optischer und akustischer Alarme anzuzeigen. j. Bei der Auslegung der Erdbebeninstrumentierung sind die für den Betrieb und die Instandhaltung relevanten Aspekte zu berücksichtigen, insbesondere Zugänglichkeit, Bedienbarkeit und Prüfbarkeit.

7.12 Stromversorgung

7.12.1 Grundlegende Anforderungen

a. Die elektrische Energieversorgung des Kernkraftwerks muss so ausgelegt b. Es müssen mindestens zwei Netzanschlüsse (Hauptnetz und Reservenetz) für die elektrische Eigenbedarfsversorgung des Kernkraftwerks vorhanden sein. Diese Netzanschlüsse müssen voneinander funktional getrennt sowie schutztechnisch entkoppelt sein und dürfen nicht der gleichen Spannungsebene angehören. c. Die Eigenbedarfsversorgung muss im ungestörten Leistungsbetrieb (SE1) und soweit möglich und angemessen bei Betriebsstörungen (SE2) von den Blockgeneratoren der Turbogruppe oder Turbogruppen erfolgen. Für jeden Blockgenerator muss ein Generatorschalter vorhanden sein, so dass bei einem Turbogruppen-Ausfall die Eigenbedarfsversorgung aus dem Hauptnetz kontinuierlich gewährleistet ist. d. Zusätzlich zur elektrischen Energieversorgung aus Netzanschlüssen und Blockgeneratoren muss für Sicherheits- und Notstandsysteme eine Notstromversorgung vorhanden sein, welche die elektrische Energieversorgung dieser Einrichtungen auch bei Ausfall der externen Stromversorgungen und Versagen des Abfangens auf Eigenbedarf gewährleistet (Notstromfall). Die Notstromversorgung hat aus Dieselaggregaten sowie Batterien, Gleichrichtergeräten und Umformern zu bestehen. e. Die Notstromversorgung muss durch eine Notstromanlage für die Sicherheitssysteme und eine speziell gegen externe Ereignisse und unbefugte Einwirkungen geschützte Notstand-Notstromanlage für die Notstandsysteme sichergestellt werden. f. Zur Beherrschung der Auswirkungen von SE4a-Störfällen respektive zur Linderung der Konsequenzen von SE4b-Störfällen müssen separate Notstromaggregate auf dem Kernkraftwerksgelände und in einem externen Lager vorhanden sein, die über vorbereitete Anschlüsse und Kabelausrüstungen die Versorgung der erforderlichen Verbraucher einschliesslich dem Aufladen

36 August 2019 (Änderung vom 28. Mai 2025)

von Batterien übernehmen können. Die Anzahl und die Auslegung dieser Ausrüstungen müssen geeignet sein, den gleichzeitigen Verlust der Netzeinspeisungen und der Wechselstromversorgung aus der Notstromanlage und Notstand-Notstromanlage zu beherrschen. g. Es muss eine Verbindung zu einem externen Netz durch provisorische Massnahmen innerhalb weniger Tage erstellt werden können.

7.12.2 Betriebliche Stromversorgung

a. Bei Verlust des Hauptnetzanschlusses muss die Reduktion der Reaktor- und Turbinenleistung für den Übergang in den Inselbetrieb soweit möglich und angemessen automatisch erfolgen (Lastabwurf auf Eigenbedarf). b. Die Umschaltung der Versorgung auf die Reservenetzeinspeisung muss automatisch erfolgen. Die dafür vorgesehene Umschalteinrichtung muss so schnell reagieren, dass der ungestörte Weiterbetrieb der erforderlichen elektrischen Verbraucher gewährleistet ist. c. Die Versorgung durch das Reservenetz soll über längere Zeit eine hohe Verfügbarkeit aufweisen und mindestens den Leistungsbedarf zum Abfahren der Anlage und zur langfristigen Gewährleistung der Nachwärmeabfuhr abdecken. d. Es sind Handumschaltmöglichkeiten zwischen Haupt- und Reservenetz vorzusehen und gegen Fehlhandlungen abzusichern. e. Querverbindungen zwischen redundanten Strängen der betrieblichen Stromversorgung sind nur dann zulässig, wenn diese so gegen Fehlhandlungen abgesichert sind, dass die Funktion der Stränge nicht gefährdet wird.

7.12.3 Notstromversorgung

a. Die Notstromanlage und die Notstand-Notstromanlage müssen sicherstellen, dass die Energieversorgung von SE3-Funktionen gewährleistet ist. Dies betrifft insbesondere die Verbraucher, die erforderlich sind, 1. um den Reaktor sicher abzuschalten und im abgeschalteten Zustand zu halten, 2. um die Nachwärme aus dem Reaktor und den Brennelementlagerbecken abzuführen und 3. um eine unzulässige Freisetzung radioaktiver Stoffe zu verhindern oder zu begrenzen.

August 2019 (Änderung vom 28. Mai 2025) 37

b. Die Notstromanlage und die Notstand-Notstromanlage müssen so ausgelegt sein, dass die zur Beherrschung von Auslegungsstörfallen erforderlichen SE3-Systeme versorgt werden können. c. Die Notstromanlage und die Notstand-Notstromanlage müssen bei den definierten Umgebungsbedingungen und den betriebs- und störfallbedingten Belastungen die Einhaltung der elektrischen Bedingungen der zugeordneten Verbraucher sicherstellen. d. Die Notstromanlage und die Notstand-Notstromanlage sind je für sich redundant aufzubauen. Die Redundanzen müssen räumlich getrennt, grundsätzlich unvermascht und voneinander funktionell unabhängig sein. e. Die Notstromanlage und die Notstand-Notstromanlage sind für eine Dauerbetriebsfähigkeit von mindestens 10 Tagen auszulegen. Die notwendigen Betriebsmittel für 24 Stunden Volllastbetrieb müssen vor Ort verfügbar sein. Auf dem Kernkraftwerksgelände sind zudem Betriebsmittelvorräte für weitere 6 Tage Betrieb für die nach einem Auslegungsstörfall längerfristig benötigten Notstromanlagen zu lagern. f. Querverbindungen zwischen redundanten Strängen der Notstromanlage beziehungsweise der Notstand-Notstromanlage sind nur zulässig, wenn sie in jedem Redundanzstrang sicher unterbrochen werden können und in diesem Zustand gesichert sind und während einer Störung nicht kurzfristig benötigt werden. g. Die Funktionsfähigkeit jedes Redundanzstrangs der Notstromanlage oder Notstand-Notstromanlage muss integral oder sonst in möglichst umfassenden Abschnitten sowohl mit Handsteuerung als auch mit simulierter automatischer Anregung, auch unter Notstrombedingungen mit der Zuschaltung von Lasten, geprüft werden können. h. Während Testläufen muss die betreffende Notstromgruppe im Anforderungsfall ihre sicherheitstechnische Aufgabe automatisch erfüllen. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten.

7.12.4 Unterbrechungsfreie Stromversorgung (USV)

a. Gleichstromanlagen und Anlagen für die unterbrechungsfreie Wechselstromversorgung (USV-Anlagen) sind Sicherheitsebenen zuzuordnen. Die Zuordnung muss dabei mit der höchsten Einstufung der zu versorgenden Systeme und Komponenten übereinstimmen. b. Folgende Ausrüstungen sind mit Gleichstrom- beziehungsweise USV-Anlagen zu versorgen: 1. 1E-klassierte leittechnische Ausrüstungen

38 August 2019 (Änderung vom 28. Mai 2025)

2. 1E-klassierte, kontinuierlich zu versorgende Antriebe 3. die Störfallübersichtsanzeigen und die zugehörige Messwertaufzeichnung

4 Ausrüstungen der radiologischen Anlagenüberwachung für Störfälle

5. die zentralen Erdbebeninstrumentierungseinrichtungen 6. 0E-klassierte Ausrüstungen der Leitanlagen 7. die Notfallkommunikationsmittel 9. das SPDS 10. die für die Störfallbeherrschung erforderliche Ersatzbeleuchtung 11. die Komponenten für die Übertragung der Anlageparameter (ANPA) 12. die Brandmeldeanlage 3 Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten. c. Die Batteriekapazität der Gleichstrom- beziehungsweise USV-Anlagen ist so auszulegen, dass eine Versorgungszeit von mindestens 4 Stunden für den direkt zugeordneten Verbraucherstrang der unter Bst. b genannten Ausrüstungen sichergestellt ist. Für die Berechnung der Versorgungszeit ist eine Best-Estimate-Analyse zulässig und zwar ohne dass Handmassnahmen zur Verlängerung der Versorgungszeit berücksichtigt werden. In jedem Fall muss gewährleistet sein, dass die Notstromaggregate gemäss Kap. 7.12.1 Bst. f die erforderlichen Verbraucher vor Erschöpfung der Batteriekapazität unterbruchsfrei versorgen können. d. Für die zur Beherrschung und Überwachung von SE4-Störfällen notwendigen gleichstrom- beziehungsweise USV-versorgten Komponenten muss eine höhere Versorgungszeit als unter Bst. c gefordert nachgewiesen werden, wenn dies für bestimmte Störfallabläufe notwendig ist. e. Die technologiebedingte Reduktion der Batteriekapazität ist bei den geforderten Versorgungszeiten zu berücksichtigen. f. Die Versorgung von Verbrauchern mit Gleichstrom aus mehreren Redundanzsträngen muss mittels Entkopplungselementen erfolgen.

3 ergänzt am 1. Oktober 2024 aufgrund der Richtlinie ENSI-G18

August 2019 (Änderung vom 28. Mai 2025) 39

7.13 Elektrische Ausrüstungen und Beleuchtung

7.13.1 Spezifische Anforderungen an elektrische Ausrüstungen

a. Die Auslegung der elektrischen Ausrüstungen muss unter Berücksichtigung der geltenden gesetzlichen Vorschriften und Anforderungen an elektrische Installationen und Erzeugnisse so erfolgen, dass

1 Personen nicht gefährdet werden und

2. Sachbeschädigungen verhindert werden oder diese zu keiner wesentlichen Beeinträchtigung der nuklearen Sicherheit führen. b. Elektrische Ausrüstungen sind insbesondere gegen Überlast, Kurzschlüsse, Überspannungen und die zu erwartenden ungünstigsten Umgebungsbedingungen auszulegen. c. Bei den zur Störfallbeherrschung erforderlichen Ausrüstungen ist, wo sinnvoll, die Übersteuerung von Komponentenschutzkriterien vorzusehen. d. Bei der Auslegung der elektrischen Systeme und Ausrüstungen ist die elektromagnetische Verträglichkeit (EMV) über ihre räumliche Ausdehnung und über alle auftretenden Phänomene und Wechselwirkungen nach dem Stand der Technik zu betrachten. Es sind ausreichende Störsicherheitsabstände vorzusehen. Wo erforderlich, sind die elektrischen und elektronischen Komponenten vor Beeinträchtigungen durch elektrostatische Entladungen zu schützen (ESD-Schutz).

7.13.2 Beleuchtung

a. Es ist für alle Anlageräume eine Beleuchtung vorzusehen, damit im Normalbetrieb und bei Störfällen gute Sichtverhältnisse für die in der Anlage tätigen Personen gegeben sind. Dies betrifft insbesondere auch die Arbeitsplätze, an denen sicherheitstechnisch erforderliche Tätigkeiten ausgeführt werden müssen. b. Bei Ausfall der normalen Beleuchtung muss eine Notbeleuchtung die für den sicheren Betrieb und die zur Störfallbeherrschung notwendigen Tätigkeiten und Bewegungen in den entsprechenden Anlageräumen sowie das sichere Verlassen von Räumlichkeiten über Fluchtwege ermöglichen. c. Die Notbeleuchtung muss eine Sicherheitsbeleuchtung und eine Ersatzbeleuchtung umfassen. d. Die Auslegung der Notbeleuchtung muss die Anforderungen der Norm SN EN 1838 berücksichtigen.

40 August 2019 (Änderung vom 28. Mai 2025)

e. Die Ausrüstungen der Notbeleuchtung müssen 0E-klassiert und für die zu unterstellenden Umgebungsbedingungen ausgelegt sein. f. Die Sicherheitsbeleuchtung muss bei Ausfall der Normalbeleuchtung 1. die Flucht- und Rettungswege,

2 Arbeitsplätze mit besonderer Gefährdung und

3. die Sicherheitszeichen ausreichend beleuchten. g. Bei der Auslegung der Sicherheitsbeleuchtung sind die Anforderungen der VKF-Richtlinien 16 (Flucht- und Rettungswege) und 17 (Kennzeichnung von Fluchtwegen Sicherheitsbeleuchtung Sicherheitsstromversorgung) zu berücksichtigen. h. Die batteriegestützte Stromversorgung der Sicherheitsbeleuchtung muss in den sicherheitsklassierten Gebäuden nach Ausfall der Normalbeleuchtung für mindestens eine Stunde wirksam sein. Zusätzlich muss in den Zugangs- und Fluchtwegen mit Schleusen und Zutrittsbarrieren die notwendige Beleuchtungszeit die störfallbedingt erschwerte Begehbarkeit berücksichtigen. i. Die Ersatzbeleuchtung muss sicherstellen, dass sicherheitstechnisch notwendige Arbeiten auch bei Ausfall der Normalbeleuchtung unverändert fortgesetzt werden können. j. Die Stromversorgung der Ersatzbeleuchtung ist gemäss Kap. 7.12.4 auszuführen. Sie ist soweit möglich und angemessen getrennt und unabhängig von der Stromversorgung der Sicherheitsbeleuchtung auszulegen. k. Die Erdbebentauglichkeit der Beleuchtungsausrüstungen muss folgende Anforderungen erfüllen:

1 Die Normalbeleuchtung ist hinsichtlich mechanischer Integrität der

Ausrüstungen so auszulegen, dass im Erdbebenfall sicherheitstechnisch wichtige Einrichtungen und Tätigkeiten nicht beeinträchtigt werden.

2 Die Ersatzbeleuchtung einschliesslich deren elektrische Versorgung

muss sich nach der Erdbebenauslegung des Anlagenraumes und dessen Komponenten richten.

3 Für die Sicherheitsbeleuchtung sind die Erdbebenanforderungen spezifisch für die bei Störfällen notwendigen Räumlichkeiten festzulegen

und zu dokumentieren. l. Bei Ausfall der Normalbeleuchtung und der Sicherheits- oder Ersatzbeleuchtung ist eine minimale Beleuchtung durch den Einsatz mobiler

August 2019 (Änderung vom 28. Mai 2025) 41

Notstromaggregate, mobiler Beleuchtungen und tragbarer Notleuchten vorzusehen. Die Wahl der Mittel ist zu begründen.

7.14 Lüftungstechnische Anlagen

a. Die Auslegung der lüftungstechnischen Anlagen (Lüftungsanlagen) muss gewährleisten, dass die in den verschiedenen Räumen spezifizierten Umgebungsbedingungen bezüglich Temperatur, Feuchtigkeit und Schadstoffbelastung im Normalbetrieb und bei Störfallen eingehalten werden. b. Lüftungsanlagen sind für den Dauerbetrieb auszulegen. c. Lüftungsanlagen sind instandhaltungsfreundlich aufzubauen und strahlenschutztechnisch leicht zugänglich zu gestalten. Ein Austausch von zu wartenden Komponenten muss ohne wesentliche bauliche Änderungen und ohne Demontage von Komponenten sicherheitstechnisch notwendiger Anlagen möglich sein. d. Bei der Werkstoffwahl und Konstruktion der Lüftungskomponenten sind die beim Normalbetrieb und bei Störfällen auftretenden Belastungen, wie maximal zu erwartenden Drücke und Druckdifferenzen, relative Luftfeuchte sowie Temperatur-, Korrosions- und Strahlungsbedingungen, zu berücksichtigen. e. Lüftungsanlagen sind gegen die Einwirkungen bei Auslegungsstörfällen auszulegen, sofern 1. diese zur Beherrschung der Störfälle notwendig sind oder 2. bei deren Versagen Sekundärschäden an Einrichtungen auftreten können, welche zum sicheren Einschluss radioaktiver Stoffe oder zum Überführen der Anlage in einen sicheren Zustand notwendig sind. f. Die einer Kontamination ausgesetzten Oberflächen sind so zu gestalten, dass eine Kontamination entweder hinreichend gering bleibt oder eine Dekontamination möglich ist. g. Bei der Auslegung der Lüftungsanlagen sind die Anforderungen an den Brandschutz zu berücksichtigen. h. Räume, die zur kontrollierten Zone gehören, sind an Lüftungsanlagen anzuschliessen. Dabei gelten folgende Anforderungen:

1 Eine Raumluft-Druckstaffelung und eine Lüftungsführung von Bereichen geringerer zu Bereichen stärkerer Kontaminationsgefährdung

müssen gewährleistet sein. 2. Die Abgabe der Abluft hat auf den dafür vorgesehenen Wegen kontrolliert zu erfolgen.

42 August 2019 (Änderung vom 28. Mai 2025)

i. Lüftungsanlagen sind mit Filteranlagen zu versehen, wenn die Konzentration radioaktiver Stoffe in den angeschlossenen Räumen die jeweils zulässigen Werte gemäss Richtlinie ENSI-G12 4 überschreiten kann. Es ist zulässig, Filteranlagen nur im Bedarfsfall einzusetzen. j. Abluft aus Räumen, in denen sich Primärkreiskomponenten befinden, ist kontinuierlich über Filteranlagen zu leiten. k. Filteranlagen, die während und nach Störfällen betrieben werden müssen, sind so auszulegen, dass die in ihnen enthaltenen Filterelemente und deren Material den Beanspruchungen derjenigen Auslegungsstörfällen standhalten, für deren Beherrschung sie erforderlich sind. l. In Abluftsträngen mit potenziell höherer Aktivitätskonzentration luftgetragener radioaktiver Stoffe sind Rückhaltevorrichtungen (z. B. Adsorptionsfilter, Schwebstofffilter, Verzögerungsstrecken) vorzusehen. m. Bei hoher Aktivität in der Raumluft hat der Lüftungsabschluss automatisch zu erfolgen. Vorgelagert zum Grenzwert zur Auslösung des Lüftungsabschlusses sind Alarmwerte vorzusehen. n. Die radioaktiven Abgaben in der Fortluft müssen die Vorgaben der Richtlinie ENSI-G125 einhalten und sind darüber hinaus so gering wie möglich zu halten.

7.15 Brennstofflagerung und -handhabung

a. Lager für Brennelemente sind so auszulegen, dass die Unterkritikalität der gelagerten Brennelemente auf den Sicherheitsebenen 1 bis 4a gewährleistet ist. Die Vorgaben der Richtlinie ENSI-G20 sind dabei zu berücksichtigen. b. Ein Störfall mit Brennstoffschmelzen (Sicherheitsebene 4b) soll zuverlässig ausgeschlossen werden können. c. Lagerräume müssen gegen den Zutritt Unbefugter gesichert sein.

7.15.1 Trockenlagerung

a. Es sind bauliche Schutzmassnahmen gegen eine Überflutung des Lagerraumes von aussen vorzusehen. Wasserführende Leitungen dürfen nicht durch den Lagerraum hindurchgeführt werden. Abweichungen sind zu begründen und sicherheitstechnisch zu bewerten.

4 geändert am 16. Dezember 2021

5 Querverweis geändert am 28. Mai 2025

August 2019 (Änderung vom 28. Mai 2025) 43

b. Lagerräume dürfen nicht Teil des Zugangs zu anderen Betriebsräumen sein. c. Betriebliche Arbeiten in anderen Betriebsräumen dürfen nicht das Betreten eines Lagerraumes erfordern.

7.15.2 Nasslagerung

a. Die Beton- und Wasserabschirmung der Lagerbecken sind so zu bemessen, dass in den angrenzenden Räumen die Ortsdosisleistungen eingehalten werden, die aufgrund des Gebietstyps gemäss Anhang 10 StSV 6 vorgegeben sind. b. Zur Bemessung der Abschirmung ist anzunehmen, dass alle für die Aufnahme von Brennelementen vorgesehenen Positionen mit Brennelementen belegt sind, die aufgrund charakteristischer Leistungsgeschichten die höchste zu erwartende Aktivität aufweisen und die geringstmögliche Abklingzeit haben. c. In den Lagerbecken sind Füllstand und Temperatur zu überwachen. Die Messgrössen sind im Hauptkommandoraum und der Notsteuerstelle anzuzeigen und bei Verletzung von Grenzwerten müssen Alarme ausgelöst werden. d. Die Systeme zur Nachwärmeabfuhr aus den Lagerbecken haben die Anforderungen gemäss Kap. 7.6 zu erfüllen. e. Es sind mindestens zwei unabhängige erdbebenfeste Einspeisemöglichkeiten vorzusehen, über die ohne Betreten der Lagerbereiche Wasser in die Lagerbecken eingespeist werden kann. Die entsprechenden Anschlussstutzen sind gegen externe Überflutung zu schützen. f. Das Lagerbecken muss so wasserdicht sein, dass schädigende Einwirkungen des Lagerbeckenwassers auf die Tragkonstruktion des Beckens auszuschliessen sind. g. Das Lagerbecken ist mit einem geeigneten Leckageüberwachungssystem auszurüsten, das die gezielte Identifizierung von Lecks in der Beckenauskleidung ermöglicht. h. Lagerbeckeneinbauten sind so anzuordnen und zu befestigen, dass hieraus keine unzulässigen Kräfte auf die Beckenauskleidung übertragen werden können.

6 geändert am 16. Dezember 2021

44 August 2019 (Änderung vom 28. Mai 2025)

i. An die Lagerbecken anbindende Leitungen sind so anzuordnen und an die Beckendurchführungen anzuschliessen, dass keine unzulässigen Kräfte auf die Beckenauskleidung ausgeübt werden können. j. An die Lagerbecken anbindende Leitungen sind so anzuordnen oder gegen Saughebewirkung zu schützen, dass bei einem Leitungsbruch eine Mindestüberdeckung der eingelagerten Brennelemente sichergestellt ist, damit Notfallmassnahmen im Beckenbereich eingeleitet werden können. k. Es sind Einrichtungen vorzusehen, um Leckagen am Dichtschütz zwischen Lagerbecken und anderen Becken (z. B. Abstellbecken, Reaktorraum) zu erkennen sowie um Leckwasser aufzufangen und abzuführen. l. Es ist eine betriebliche Reinigungsanlage vorzusehen und so auszulegen, dass 1. radioaktive, ionale und feste Verunreinigungen aus dem Kühlmittel, insbesondere aus dem oberen Beckenbereich, entfernt werden können, 2. festgelegte Grenzwerte für die Qualität des Beckenwassers eingehalten werden können und 3. Schwebstoffe, die die Sichtverhältnisse beeinträchtigen, entfernt werden können. m. Lagergestelle für Brennelemente sind so anzuordnen und zu gestalten, dass 1. die Kühlung der gelagerten Brennelemente gewährleistet wird, 2. sich die räumliche Anordnung und die Funktion von neutronenabsorbierenden Bauteilen, die bei der Auslegung hinsichtlich Kritikalitätssicherheit berücksichtigt wurden, nicht unzulässig ändern können, 3. die Brennelemente beim Ablassen in die Gestelle gegen Beschädigung geschützt sind, und 4. die Integrität der Lagergestelle über die gesamte Einsatzzeit unter Berücksichtigung des Langzeitverhaltens der verwendeten Werkstoffe gewährleistet bleibt. n. Der zum Abstellen des Transportbehälters vorzusehende Platz ist so anzuordnen und zu gestalten, dass 1. der Transportweg für den Behälter möglichst kurz ist und nicht über Gestelle für Brennelemente hinwegführt, 2. notwendige Hebezeuge für den Behälter ungehindert montiert und demontiert werden können,

August 2019 (Änderung vom 28. Mai 2025) 45

3. beim Beladen des Transportbehälters eine ausreichende Abschirmung gegeben ist, und 4. der Behälter bei zu unterstellenden induzierten Erschütterungen nicht durch Rutschen und Kippen das Lagerbecken oder Brennelemente beschädigen kann. o. Handhabungseinrichtungen für Brennelemente und zugehörige Einrichtungen sind dann gegen Einwirkungen als Folge von Auslegungsstörfällen auszulegen, wenn ihre Verfügbarkeit nach solchen Einwirkungen sicherheitstechnisch erforderlich ist oder wenn unzulässige Folgeschäden möglich sind. p. Beim Einsatz von Hebezeugen oder Werkzeugen ist durch konstruktive Massnahmen sicherzustellen, dass immer eine ausreichende Überdeckung mit Wasser zur Abschirmung gewährleistet ist. q. Geräte für die Instandsetzung und Prüfung von Brennelementen müssen so ausgelegt und ausgeführt sein, dass 1. bei korrektem Einsatz sowohl bei der notwendigen Brennelementhandhabung als auch beim Betrieb der Geräte eine unzulässige Strahlenbelastung oder Kontamination der beschäftigten Personen vermieden wird, 2. eine versehentliche Beschädigung von Brennelementen verhindert wird, und 3. die entsprechenden Vorgaben der Richtlinie ENSI-G20 eingehalten werden.

8 Liste der Verweisungen

SIA Norm 260: Grundlagen der Projektierung von Tragwerken Schweizerische Norm SN EN 1838: Angewandte Lichttechnik – Notbeleuchtung VKF-Richtlinie 16: Flucht- und Rettungswege VKF-Richtlinie 17: Kennzeichnung von Fluchtwegen Sicherheitsbeleuchtung Sicherheitsstromversorgung

Diese Richtlinie wurde am 19. August 2019 vom ENSI verabschiedet und ist gültig ab 1. September 2019. Der Direktor des ENSI: sig. H. Wanner

46 August 2019 (Änderung vom 28. Mai 2025)

Anhang 1: Begriffe (gemäss ENSI-Glossar) Anlageinformationssystem (ANIS) Das betriebliche Anlageinformationssystem (ANIS) stellt sicherheitstechnisch wichtige Information aus der Anlage in direkter und in verdichteter Form rasch, zuverlässig und umfassend dar und ermöglicht einen übersichtlichen Einblick in die Prozessabläufe in der Anlage. Für die Bezeichnung ANIS wird in einigen Anlagen die Bezeichnung Prozessrechneranlage (PRA) verwendet. Auslegung Auslegung umfasst die Entwicklung und Gestaltung von Strukturen, Systemen und Komponenten (SSK), damit diese ihren definierten Zweck erfüllen. Gemäss Art. 7 KEV sind bei der Auslegung, beim Bau, bei der Inbetriebnahme und beim Betrieb bewährte oder nachweislich hochqualitative Verfahren, Werkstoffe, Techniken sowie Organisationsstrukturen und -abläufe einzusetzen. Hierbei gelten für SSK in Abhängigkeit der sicherheitstechnischen Bedeutung abgestufte Anforderungen. Autark Ein System funktioniert autark, wenn dieses automatisch oder durch das Betriebspersonal gestartet wird und dann ohne Eingriffe im Betrieb verbleibt. Begrenzungssystem Ein Begrenzungssystem ist ein System zur automatisierten Ausführung einer Begrenzungsfunktion. Eine Begrenzungsfunktion dient dazu, Betriebsstörungen zu erkennen und automatisch abzufangen, um einen Störfall und das Eingreifen eines Sicherheits- oder Notstandsystems zu vermeiden. Betriebserdbeben (OBE) Ein Betriebserdbeben, englisch Operating Basis Earthquake (OBE), ist ein verglichen mit dem Sicherheitserdbeben schwächeres Erdbeben, das mit zum Zeitpunkt der Errichtung der SSK von der Aufsichtsbehörde akzeptierten Belastungen verbunden ist. Betriebsinstrumentierung Die Betriebsinstrumentierung ist die Instrumentierung für die Übersicht über den Zustand der Anlage im Normalbetrieb und bei Betriebsstörungen. Die Betriebsinstrumentierung umfasst Einrichtungen für die Anzeige und die Aufzeichnung einschliesslich der Messwerterfassung, -übertragung und -verarbeitung. Funktionsstrang Ein Funktionsstrang umfasst eine vollständige, unabhängige Realisierung einer sicherheitsrelevanten Funktion (z. B. Messwerterfassung, Eingang, CPU, Ausgang und Stellglieder oder Anzeigen) und ist grundsätzlich nicht mit anderen Funktionssträngen vermascht.

August 2019 (Änderung vom 28. Mai 2025) 47

Gefahrmeldeanlage (GMA) Die Gefahrmeldeanlage signalisiert in Steuerstellen (Hauptkommandoraum, Notsteuerstelle, weitere Steuerstellen) Sammelmeldungen und Einzelmeldungen von sicherheitstechnisch wichtigen Abweichungen der grundlegenden Schutzzielfunktionen, weiteren Funktionen und der betroffenen Ausrüstungen. Dazu gehören insbesondere Voralarmgrenzwerte bei Abweichungen vom Normalbetrieb, Auslösegrenzwerte für automatisierte Begrenzungsfunktionen und Überwachungsfunktionen für vorgeschriebene Handeingriffe, Alarmgrenzwerte für SE3- Systeme, Auslösegrenzwerte für SE3-Systeme. Die Gefahrmeldeanlage kann in örtlich verschiedene Gefahrmeldeanlagen aufgeteilt sein. Hebezeuge Als Hebezeuge gelten Aufzüge, Krane, Laufkatzen, Ausbauhilfen, Lastaufnahmeeinrichtungen und Brennelementwechselmaschinen. Integrität Integrität ist der Zustand einer Komponente oder Barriere, bei dem die an sie gestellten sicherheitstechnischen Kriterien hinsichtlich Festigkeit, Bruchsicherheit und Dichtheit erfüllt sind. Konzept der gestaffelten Sicherheitsvorsorge Das Konzept der gestaffelten Sicherheitsvorsorge besteht aus 5 hintereinander gestaffelten Sicherheitsebenen, von denen jeweils die nächste dazu dient, ein Versagen der Vorkehrungen der davor liegenden Ebenen aufzufangen, die Konsequenzen des Versagens zu begrenzen oder zu lindern. Notfallausrüstung Notfallausrüstungen sind fest installierte oder mobile technische Einrichtungen, die zur Beherrschung oder Milderung von auslegungsüberschreitenden Störfällen auf dem Areal des Kernkraftwerks oder in externen Lagern vorhanden sind. Sie können auch längerfristig zur Gewährleistung eines sicheren, stabilen Zustandes bei Auslegungsstörfällen eingesetzt werden. Notstandfall Der Notstandfall umfasst eine Gruppe von Störfällen, die nur mittels Notstandsystemen beherrscht werden können. Dazu gehören ein Brand im Hauptkommandoraum, unbefugte Einwirkungen (UEW) oder bestimmte externe Ereignisse wie Flugzeugabsturz. Notstandsystem Ein Notstandsystem führt SE3-Funktionen aus und ist vor allem zur Beherrschung von externen Ereignissen, systemübergreifenden internen Ereignissen und Sabotageszenarien konzipiert. Notstandsysteme sind in gebunkerten, besonders geschützten Gebäuden untergebracht.

48 August 2019 (Änderung vom 28. Mai 2025)

Primärcontainment Das Primärcontainment umschliesst das Reaktorkühlsystem. Die unter hohem Druck stehenden, Reaktorkühlmittel führenden Komponenten befinden sich grundsätzlich innerhalb des Primärcontainments. Reaktorkühlsystem Das Reaktorkühlsystem (RKS) dient der unmittelbaren Kühlung des Reaktorkerns und umfasst bei Druck- und Siedewasserreaktoren die druckführende Umschliessung des Reaktorkühlmittels sowie deren Reaktoreinbauten und aktiven Komponenten sowie deren Stützkonstruktionen. Sekundärcontainment Das Sekundärcontainment ist die äussere Sicherheitshülle, die das Primärcontainment umschliesst. In der Regel ist dies das Reaktorgebäude, es kann aber auch zusätzliche Gebäude umfassen. Die Sicherheitshülle bietet Schutz gegen zu unterstellenden Einwirkungen von ausserhalb des Primärcontainments und dient als zusätzliche Sicherheitsbarriere für Störfälle mit Freisetzung radioaktiver Stoffe im Primärcontainment. Sicherheitsebene (SE) Eine Sicherheitsebene umfasst auf spezifische Ziele ausgerichtete Sicherheitsvorkehrungen (Systeme, Ausrüstungen und Massnahmen) entsprechend Anhang 2. Sicherheitserdbeben (SSE) Das Sicherheitserdbeben, englisch Safe Shutdown Earthquake (SSE), ist ein Erdbeben mit einer Belastung, die zum Zeitpunkt der Errichtung der SSK von der Aufsichtsbehörde akzeptiert wurde. Diese Belastung bezieht sich auf eine Gefährdungsannahme, die mit einer Häufigkeit von 10-4 pro Jahr überschritten wird. Sicherheitsrelevant Strukturen, Systeme, Komponenten, Prozesse und Operateurhandlungen sind sicherheitsrelevant, wenn sie einen Störfall auslösen können, wenn sie zusätzliche Personendosen verursachen können oder wenn sie für die Störfallbeherrschung vorgesehen sind. Sicherheitssystem Ein Sicherheitssystem führt SE3-Funktionen aus und ist vor allem zur Beherrschung von internen Ereignissen konzipiert. SPDS SPDS ist die Abkürzung für Safety Parameter Display System. Der Begriff bezeichnet ein Anzeigesystem für Störfallparameter, das der Ergänzung der Störfallinstrumentierung und der weiteren Instrumentierung dient. Es ermöglicht eine konzentrierte und schnelle Übersicht über den aktuellen Anlagezustand und dessen Entwicklung, die grundlegenden Schutzziele und die

August 2019 (Änderung vom 28. Mai 2025) 49

hierzu realisierten Sicherheitsfunktionen. Mit dem SPDS kann die Verletzung von Schutzzielen unmittelbar erkannt werden. Störfallinstrumentierung Die Störfallinstrumentierung ist die Instrumentierung zur Übersicht über den Zustand der Anlage vor, während und nach Störfällen. Die damit angezeigten Messwerte und zeitlichen Messwertverläufe umfassen die wesentliche Information, aus der die zu treffenden Massnahmen zum Schutz der Integrität des Reaktorkerns und des Containments sowie über die Abschätzung der Abgaben radioaktiver Stoffe an die Umgebung im Rahmen des Accident Managements abgeleitet werden können. Die Instrumentierung umfasst die Einrichtungen für die Störfallanzeige und die Störfallaufzeichnung einschliesslich der Messwerterfassung, -übertragung und -verarbeitung. Unbefugte Einwirkungen (UEW) Als unbefugte Einwirkungen (UEW) werden vorsätzliche unbefugte Handlungen unabhängig von der Art der Einwirkung (insbesondere physische Einwirkung sowie Einsatz von Informationstechnik) bezeichnet. Eine UEW zielt darauf ab, den sicheren Betrieb einer Kernanlage oder den sicheren Umgang mit Kernmaterial zu beeinträchtigen. UEW können sowohl von externen Personen als auch von Eigen- oder Fremdpersonal ausgehen. Abgrenzung: Fahrlässige unbefugte Handlungen fallen nicht unter dem Begriff UEW. Versorgungssystem Ein Versorgungssystem ist ein System, das der Versorgung eines oder mehrerer Betriebssysteme, Begrenzungs-, Sicherheits- oder Notstandsysteme insbesondere mit Strom, Steuerluft, Schmieröl, Kühlwasser oder Sperrwasser dient.

50 August 2019 (Änderung vom 28. Mai 2025)

Anhang 2: Das Konzept der gestaffelten Sicherheitsvorsorge

Sicherheitsebene Schutzzielfunktio- Systeme, Ausrüstungen Ziel Anforderungsfall nen und Massnahmen

Sicherheitsebene 1 SE1-Funktionen Betriebssysteme ein- Vermeidung von Be- Normalbetrieb schliesslich der erforderli- triebsstörungen chen Versorgungssysteme und Leitanlagen

Sicherheitsebene 2 SE2-Funktionen Begrenzungssysteme ein- Beherrschung von Betriebsstörungen schliesslich der erforderli- Betriebsstörungen chen Versorgungssysteme und Leitanlagen

Sicherheitsebene 3 SE3-Funktionen 7 Sicherheits- und Notstand- Beherrschung von Auslegungsstörfälle systeme einschliesslich der Auslegungsstörfällen, erforderlichen Versor- so dass ein Kerngungssysteme und Leitan- schaden verhindert lagen wird

Sicherheitsebene 4a SE4a-Funktionen 8 Notfallsysteme und -aus- Beherrschung beauslegungsüberschrei- rüstungen 9 (präventive stimmter auslegungstende Störfälle ohne Notfallmassnahmen) überschreitender schweren Kernschaden Störfälle

Sicherheitsebene 4b SE4b-Funktionen8 Notfallausrüstungen (miti- Begrenzung der Freiauslegungsüberschrei- gative Notfallmassnahmen) setzung radioaktiver tende Störfälle mit schwe- Stoffe rem Kernschaden

Sicherheitsebene 5 SE5-Funktionen Anlagenexterner Notfall- Linderung der radioschwere Unfälle mit grös- schutz logischen Auswirkunserer Freisetzung radioak- gen in der Umgebung tiver Stoffe in die Umgebung

7 In der KEV werden SE3-Funktionen als Sicherheitsfunktionen bezeichnet.

8 Die Sicherheitsebenen 4a und 4b werden im Englischen als Design Extension Conditions (DEC) bezeichnet. Es wird zwischen DEC A (Sicherheitsebene 4a) und DEC B (Sicherheitsebene 4b) unterschieden.

9 Betriebs-, Sicherheits- und Notstandsysteme können auch auf der Sicherheitsebene 4a eingesetzt

werden, wenn sie für den spezifizierten Störfallablauf verfügbar sind.

August 2019 (Änderung vom 28. Mai 2025) 51

Anhang 3: Gefilterte Druckentlastung des Primärcontainments A3.1: Allgemeine Auslegungsvorgaben a. Das Druckentlastungssystem hat die relevanten Vorgaben der SE4-Funktionen zu erfüllen. b. Das Druckentlastungssystem darf die Containmentisolationsfunktion auf den Sicherheitsebenen 1 bis 4a nicht beeinträchtigen. Das bedeutet insbesondere, dass 1. das Druckentlastungssystem mit zwei in Reihe angeordneten Absperrungen auszurüsten ist und 2. ein fehlerhaftes Ansprechen des Druckentlastungssystems zu vermeiden ist. c. Das Druckentlastungssystem ist so auszulegen, dass Dampf und Gase beim vorgegebenen Abblasedruck sicher abgeführt werden können. Der Abblasedruck ist so festzulegen, dass 1. ein Überdruckversagen des Containments mit hoher Zuverlässigkeit vermieden wird und 2. die Berstscheibe (siehe Kap. A3.3) noch intakt bleibt. d. Für die Auslegung des Druckentlastungssystems sind Ereignisabläufe mit langsamem Druckaufbau im intakten Containment zu berücksichtigen: 1. Bei Siedewasserreaktoren sind eine teilweise Umgehung des Kondensationsbeckens und eine Reaktorleistung von 1 % anzunehmen.

2 Bei Druckwasserreaktoren ist eine Reaktorleistung von mindestens

0,5 % anzunehmen. e. Die mechanische Festigkeit des Druckentlastungssystems muss der Festigkeit des Containments entsprechen. Dies betrifft insbesondere die Erdbebenfestigkeit. f. Das Druckentlastungssystem ist so auszulegen, dass eine Wasserstoffzündung im System ausgeschlossen werden kann. Andernfalls ist nachzuweisen, dass die bei einer Wasserstoffdeflagration oder -detonation auftretenden Drücke das Druckentlastungssystem nicht beschädigen. g. Mögliche Kondensationsschläge bei der Inbetriebnahme des Druckentlastungssystems sind zu beherrschen. h. Instrumentierungen zur Überwachung des Entlastungsvorgangs sowie zur Überwachung und Registrierung der an die Umgebung abgegebenen

August 2019 (Änderung vom 28. Mai 2025) 53

radioaktiven Stoffe sind vorzusehen. Diese Instrumentierung ist für eine autarke Betriebsdauer von 100 Stunden auszulegen. i. Die Druckentlastung muss auch bei Verlust der Stromversorgung möglich sein. Die Öffnung der Absperrarmaturen muss dabei manuell von einer gegen Direktstrahlung und luftgetragenen Radioaktivität geschützten Stelle aus erfolgen. j. Der Dampf-/Gasdurchsatz durch das Druckentlastungssystems muss einstellbar sein. Das System muss auch bei variablem Druck im Containment und bei variablem Durchsatz funktionieren. k. Die Ableitung des gefilterten Dampf-/Gasgemisches hat über einen Kamin zu erfolgen. l. Die Möglichkeit des Nachfüllens respektive Auswechselns der Wasservorlage bei Verwendung von Nasswäscherfiltern ist vorzusehen. Die Bedienung soll dabei fernbedient von einer gegen Direktstrahlung und luftgetragenen Radioaktivität geschützten Steuerstelle und manuell vor Ort möglich sein. m. In Bezug auf die Filterbeladung mit radioaktiven Stoffen und inaktivem Material ist eine Aerosolmenge von 150 kg zugrunde zu legen, die von der Anlage verarbeitet werden muss. A3.2: Rückhaltefaktoren für spezifische Nuklide a. Die Auslegung der gefilterten Druckentlastung hat so zu erfolgen, dass 1. für Aerosole ein Rückhaltefaktor von 1000, 2. für elementares Iod ein Rückhaltefaktor von 100 und 3. für organisches Iod ein Rückhaltefaktor von 10 eingehalten wird. Das anzunehmende Aerosol-Spektrum muss dem aktuellen Stand des Wissens entsprechen. b. Die Rückhaltefaktoren der gewählten technischen Lösung sind mittels Experimenten oder Berechnungen auf der Basis von Experimenten in einem Bereich von 30 % bis 100 % des Auslegungsdurchsatzes zu demonstrieren. c. Es sind Massnahmen zu treffen oder vorzubereiten, um längerfristig eine Wiederfreisetzung der radioaktiven Stoffe aus dem Filter zu vermeiden. A3.3: Spezielle Auslegungsvorgaben für die passive Entlastung a. Es ist eine zusätzliche passive Entlastung mittels Berstscheibe vorzusehen, welche unabhängig von aktiven Systemen oder Personalhandlungen funktioniert. Der Ansprechdruck ist so zu wählen, dass 1. ein Überdruckversagen des Primärcontainments und

54 August 2019 (Änderung vom 28. Mai 2025)

2. ein zu frühes Abblasen vermieden werden. b. Bei der Auslegung der passiven Entlastung sind folgende Bedingungen zu beachten:

1 Die Vorkehrungen zur passiven Entlastung dürfen keine Rückwirkung

auf die Sicherheitsebenen 1 bis 4a haben.

2 Die Berstscheibe, deren Ansprechdruck genügend hoch über dem

Auslegungsdruck des Containments liegen muss, kann als passiver Teil des Containments betrachtet werden und ist deshalb als Abschluss ausreichend. 3. Die passive Entlastungsstrecke muss parallel zu den Absperrarmaturen der aktiven Entlastungstrecke installiert werden und mit mindestens einer Armatur absperrbar sein, die in der Normalstellung offen ist.

4 Die Bedienung der Absperrarmatur in der passiven Entlastungsstrecke

soll von den gleichen Orten wie die Aktivierung der Druckentlastung sowohl fernbedienbar als auch manuell möglich sein.

5 Absperrarmaturen der passiven Entlastungsstrecke müssen ohne

Hilfsenergie (Strom, Druckluft) sowohl in offener als auch in geschlossener Stellung gehalten werden können. 6. Die Schluckfähigkeit der passiven Entlastungsstrecke bei Ansprechdruck muss der nominellen Abblasemenge entsprechen.

7 Die dynamischen Belastungen der Rohrleitungen und des Filters beim

Öffnen der passiven Entlastung müssen berücksichtigt werden.

August 2019 (Änderung vom 28. Mai 2025) 55

Anhang 4: Störfallübersichtsanzeigen Störfallübersichtsanzeigen für Druckwasserreaktoren Messbereich (Richtwerte)

1 Neutronenfluss mind. 10-6 PN bis 1.25 PN 10

2 Reaktordruckbehälter-Kühlmittelein- und -austrittstemperatur je 50 °C bis 400 °C

Loop

3 Kernaustrittstemperatur 11 100 °C bis 1000 °C

4 Füllstand im Druckhalter zu spezifizieren gemäss Auslegung

5 Siedeabstand mind. 50 K bis 0 K

6 Druck im Reaktorkühlsystem mind. 1 bar bis 200 bar (bis mind. Auslegungsdruck plus 30 bar)

7 sekundärseitiger Füllstand je Dampferzeuger (Weitbereich) zu spezifizieren gemäss Auslegung

8 sekundärseitiger Druck je Dampferzeuger 1 bar bis 100 bar

9 Temperatur des Wassers im Containmentsumpf 10 °C bis 150 °C

10 Füllstand im Containmentsumpf zu spezifizieren gemäss Auslegung

11 Druck Containment (Differenzdruckmessung Nahbereich) mind. -0,1 bis +5,5 bar (bis mind. Auslegungsdruck)

12 Druck Containment (Differenzdruckmessung Weitbereich) bis mindestens 2-facher Auslegungsdruck

13 Wasserstoffkonzentration im Containment 12 mind. 0 bis 8 Volumen-% H2

14 Lufttemperatur im Containment12 20 °C bis 200 °C

15 Druck Sekundärcontainment (Differenzdruckmessung) zu spezifizieren

16 Temperatur im Sekundärcontainment12 20 °C bis 110 °C

17 Dosisleistung im Containment vgl. Richtlinie ENSI-G13

18 Emission radioaktiver Stoffe mit der Fortluft vgl. Richtlinie ENSI-G13

19 Emission radioaktiver Stoffe mit dem Abwasser vgl. Richtlinie ENSI-G13

20 Borsäurekonzentration des Wassers im Containmentsumpf 13 50 ppm bis 2600 ppm

21 Messsysteme zur Überwachung der radioaktiven Stoffe in Nach- vgl. Richtlinie ENSI-G13

wärmeabfuhrsystemen mit nur einer Sicherheitsbarriere

22 Füllstand im Brennelementlagerbecken werkspezifisch festzulegen

23 Temperatur im Brennelementlagerbecken werkspezifisch festzulegen

10 PN: Nennleistung

11 Mit dieser Messung muss insbesondere auch die Abdeckung des Kerns eindeutig festgestellt werden können.

Andernfalls ist zusätzlich eine diversitäre Messung hierzu vorzusehen.

August 2019 (Änderung vom 28. Mai 2025) 57

12 Messstellen an mehreren repräsentativen Stellen

13 Laborauswertung zulässig

58 August 2019 (Änderung vom 28. Mai 2025)

Störfallübersichtsanzeigen für Siedewasserreaktoren Messbereich (Richtwerte)

1 Neutronenfluss 10-6 PN bis 1.25 PN 14

2 Füllstand im Reaktordruckbehälter (Normalbereich) zu spezifizieren gemäss Auslegung

3 Füllstand im Reaktordruckbehälter (Weitbereich) zu spezifizieren gemäss Auslegung

4 Druck im Reaktordruckbehälter mind. 1 bar bis 100 bar (bis mind. Auslegungsdruck plus 20 bar)

5 Füllstand in der Kondensationskammer des Containments (Nor- zu spezifizieren gemäss Auslegung

malbereich)

6 Füllstand in der Kondensationskammer des Containments (Weit- zu spezifizieren gemäss Auslegung

bereich)

7 Temperatur des Wassers in der Kondensationskammer des Con- 10 °C bis 150 °C

tainments

8 Füllstand im Drywell (Druckkammer) zu spezifizieren gemäss Auslegung

9 Druck Containment (Differenzdruckmessung Normalbereich) mind. -0,1 bis +5;5 bar (bis mind. Auslegungsdruck)

10 Druck Containment (Differenzdruckmessung Weitbereich) bis mindestens 2-facher Auslegungsdruck

11 Wasserstoffkonzentration im Containment 15 mind. 0 bis 8 Volumen-% H2 zu

spezifizieren

12 Lufttemperatur im Containment15 20 °C bis 200 °C

13 Druck Sekundärcontainment (Differenzdruckmessung) zu spezifizieren

14 Temperatur im Sekundärcontainment15 20 °C bis 110 °C

15 Dosisleistung im Containment vgl. Richtlinie ENSI-G13

16 Emission radioaktiver Stoffe mit der Fortluft vgl. Richtlinie ENSI-G13

17 Emission radioaktiver Stoffe mit dem Abwasser vgl. Richtlinie ENSI-G13

18 Messsysteme zur Überwachung der radioaktiven Stoffe in Nach- vgl. Richtlinie ENSI-G13

wärmeabfuhrsystemen mit nur einer Sicherheitsbarriere

19 Füllstand im Brennelementlagerbecken werkspezifisch festzulegen

20 Temperatur im Brennelementlagerbecken werkspezifisch festzulegen

14 PN: Nennleistung

15 Messstellen an mehreren repräsentativen Stellen

August 2019 (Änderung vom 28. Mai 2025) 59

Herausgeber: Eidgenössisches Nuklearsicherheitsinspektorat ENSI CH-5201 Brugg

+41 56 460 84 00 info@ensi.ch www.ensi.ch

© ENSI Ausgabe August 2019 (Änderung vom 28. Mai 2025)

ENSI-G02

ENSI Industriestrasse 19

5201 Brugg

Schweiz

+41 56 460 84 00 info@ensi.ch www.ensi.ch