1.1 Hintergrund

Die Bewertung mit INES dient dazu, die Öffentlichkeit unverzüglich und konsistent über die sicherheitstechnische Bedeutung von Ereignissen im Zusammenhang mit Strahlenquellen zu informieren. Sie deckt ein breites Spektrum von Anwendungsfällen ab, darunter die industrielle Verwendung wie z. B. die Radiographie, die Verwendung von Strahlenquellen in Krankenhäusern, Tätigkeiten in nuklearen Anlagen und der Beförderung radioaktiver Stoffe. Da Ereignisse im Zusammenhang mit diesen Tätigkeiten in gleicher Weise behandelt werden, kann die Anwendung von INES ein gemeinsames Verständnis zwischen der Fachwelt, den Medien und der Öffentlichkeit über die radiologische Bedeutung von Ereignissen erleichtern.

Die Skala wurde im Jahr 1990 gemeinsam von der Internationalen Atomenergie Organisation (IAEO) und der Nuclear Energy Agency der Organization for Economic Co-operation and Development (OECD/NEA) einberufenen internationalen Experten entwickelt. Sie reflektierte ursprünglich die Erfahrung bei der Verwendung ähnlicher Bewertungsskalen in Frankreich und Japan wie auch die Entwürfe derartiger Skalen in einigen Ländern. Seitdem hat die IAEO ihre Entwicklung in Zusammenarbeit mit der OECD/NEA sowie mit der Unterstützung von mehr als 60 INES National Officers geleitet, welche offiziell die INES-Mitgliedstaaten bei den zweijährlichen Fachtagungen zur INES repräsentieren.

Anfangs wurde die Skala dazu verwendet, Ereignisse in Kernkraftwerken zu klassifizieren. Sie wurde später erweitert und angepasst, um sie auf alle mit der zivilen Nuklearindustrie verbundenen Einrichtungen anwenden zu können. In jüngerer Zeit erfolgte eine erneute Erweiterung, um den wachsenden Anforderungen an die Kommunikation zur Bedeutung jeglicher Ereignisse im Zusammenhang mit der Beförderung, der Lagerung und der Verwendung von radioaktiven Stoffen und von Strahlenquellen zu genügen. Dieses überarbeitete Handbuch vereint nun die Anleitungen zu allen Anwendungsfällen in einem Dokument.

1.2 Allgemeine Beschreibung der Bewertungsskala

Ereignisse werden nach einer siebenstufigen Skala bewertet:

–

Ereignisse der Stufen 4 bis 7 werden als „Unfälle“ bezeichnet und

–

Ereignisse der Stufen 1 bis 3 als „Störungen“ und „Störfälle“.

–

Ereignisse ohne oder mit sehr geringer sicherheitstechnischer Bedeutung werden als „Abweichungen“ bezeichnet und „unterhalb der Skala/Stufe 0“ eingestuft.

–

Ereignisse, die in Bezug auf Strahlenschutz oder nukleare Sicherheit keine Bedeutung haben, werden nicht anhand der Skala eingestuft (siehe Abschnitt 1.3).

Für die Information der Öffentlichkeit über einzelne Ereignisse ist jeder Stufe von INES eine eindeutige Bezeichnung zugeordnet worden. Dies sind nach ansteigender Schwere:

–

Störung,

–

Störfall,

–

ernster Störfall,

–

Unfall,

–

ernster Unfall¹,

–

schwerer Unfall und

–

katastrophaler Unfall.

Ziel bei der Erstellung der Skala war es, dass beim Übergang von einer Stufe zur nächsten der Schweregrad eines Ereignisses um mehr als eine Größenordnung zunimmt, es handelt sich also um eine logarithmische Skala. Der Unfall in Kernkraftwerk Tschernobyl in der UdSSR (jetzt Ukraine) im Jahr 1986 entspricht der INES-Stufe 7. Er hatte weitreichende Auswirkungen auf die Bevölkerung und die Umwelt. Eine der wesentlichen Überlegungen bei der Entwicklung der Kriterien für die Einstufung mit INES war, dass sich die Bedeutung von weniger schwerwiegenden und lokalen Ereignissen eindeutig von diesem sehr schwerwiegenden Unfall unterscheidet. Dementsprechend wird der Unfall, der sich 1979 im Kernkraftwerk Three Miles Island (USA) ereignete, der INES-Stufe 5 zugeordnet. Ein Ereignis, das zu einem einzelnen durch Strahlung verursachten Todesfall führt, wird mit Stufe 4 bewertet.

Die Struktur der Ereignisskala ist in Tabelle 1 dargestellt. Die jeweiligen Ereignisse werden hinsichtlich ihrer Auswirkungen nach drei verschiedenen Bewertungsaspekten betrachtet:

–

Auswirkungen auf Mensch und Umwelt;

–

Beeinträchtigung radiologischer Barrieren und Überwachungsmaßnahmen in Anlagen und Einrichtungen;

–

Beeinträchtigung von Sicherheitsvorkehrungen.

Detaillierte Definitionen der Stufen sind in den weiteren Kapiteln dieses Handbuchs enthalten.

Die Auswirkungen auf Mensch und Umwelt können lokal auftreten, d. h. in Form einer Strahlenexposition von einem oder mehreren Individuen in der Nähe des Ereignisortes oder über größere Gebiete verteilt, wie bei einer Freisetzung von radioaktiven Stoffen aus einer Anlage oder Einrichtung. Die Beeinträchtigung radiologischer Barrieren und Überwachungsmaßnahmen in Anlagen und Einrichtungen ist nur für solche Anlagen und Einrichtungen relevant, in denen größere Mengen radioaktiven Materials gehandhabt werden, wie z. B. Leistungsreaktoren, Wiederaufbereitungsan­lagen, große Forschungsreaktoren oder große Anlagen und Einrichtungen zur Produktion von Radioisotopen. Sie umfassen Ereignisse wie das Schmelzen des Reaktorkerns und den Austritt von bedeutenden Mengen radioaktiver Stoffe infolge eines Versagens radiologischer Barrieren. Die Ereignisse, die anhand dieser beiden Bewertungsaspekte eingestuft werden (Mensch und Umwelt sowie radiologische Barrieren und Überwachungsmaßnahmen) werden in diesem Handbuch als Ereignisse mit „tatsächlichen Auswirkungen“ beschrieben. Eine Beeinträchtigung der gestaffelten Sicher­heitsvorkehrungen umfasst grundsätzlich die Ereignisse ohne tatsächliche Auswirkungen. Dabei standen jedoch die Maßnahmen und Einrichtungen, die zur Verhinderung oder Beherrschung von Störfällen getroffen worden sind, nicht im vorgesehenen Umfang zur Verfügung. Für kerntechnischen Anlagen sind diese Maßnahmen und Einrichtungen üblicherweise Bestandteil der Genehmigung.

Stufe 1 deckt eine nur geringe Beeinträchtigung der gestaffelten Sicherheitsvorkehrungen ab. Die Stufen 2 und 3 beschreiben unter dem dritten Bewertungsaspekt weitergehende Beeinträchtigungen der gestaffelten Sicherheitsvorkehrungen.

Unter den beiden ersten Aspekten beschreiben die Stufen 2 und 3 geringe Auswirkungen für Mensch, Umwelt, Anlagen oder Einrichtungen; die Stufen 4 bis 7 bilden dagegen gravierendere Auswirkungen ab.

Die Einstufung mit Hilfe von INES deckt auch Ereignisse in Anwendungsgebieten ab, bei denen das obere Ende der Skala nicht erreicht werden kann. So könnten zum Beispiel Ereignisse im Zusammenhang mit der Beförderung von Strahlenquellen zur industriellen Radiographie die Stufe 4 nicht überschreiten, selbst wenn die Quelle entnommen und falsch gehandhabt werden würde.

1.3 Anwendungsbereich der Bewertungsskala

Die Bewertungsskala kann auf jedes Ereignis im Zusammenhang mit der Beförderung, Lagerung und Verwendung von radioaktiven Stoffen und Strahlenquellen angewandt werden. Sie ist anwendbar ungeachtet dessen, ob das Ereignis

–

in einer Anlage oder Einrichtung bzw. beim Umgang mit radioaktiven Stoffen stattfindet,

–

den Verlust oder Diebstahl von radioaktiven Quellen oder Versandstücken oder

–

die Entdeckung von herrenlosen Strahlenquellen – zum Beispiel Strahlenquellen, die versehentlich in den Altmetallhandel gelangt sind –

beinhaltet. Die Skala kann auch auf Ereignisse angewendet werden, bei denen Personen während sonstiger überwachter Tätigkeiten oder Arbeiten (z. B. Verarbeitung von Erzen) ungeplant exponiert werden.

Die Skala ist nur zur Anwendung im zivilen (nicht-militärischen) Bereich gedacht und bezieht sich nur auf die Sicherheitsaspekte eines Ereignisses. Sie ist nicht für die Bewertung von sicherungsrelevanten Ereignissen oder von kriminellen Handlungen, bei denen Individuen absichtlich ionisierender Strahlung ausgesetzt werden, gedacht.

Wenn ein Gerät für medizinische Zwecke (z. B. Strahlendiagnostik oder Strahlentherapie) benutzt wird, so kann die Anleitung in diesem Handbuch für die Einstufung von Ereignissen verwendet werden, die zu einer tatsächlichen ungeplanten Exposition von Personal und der Öffentlichkeit geführt haben. Ebenso können Ereignisse aufgrund von Geräteschäden oder Mängeln in den Sicherheitsvorkehrungen bewertet werden. Die derzeitige Bewertungsskala berücksichtigt jedoch nicht die tatsächlichen oder potenziellen Folgen für Patienten, die der Strahlung als Teil einer medizinischen Anwendung ausgesetzt werden. Die Notwendigkeit einer Einstufung unangemessener Expositionen bei medizinischen Anwendungen ist erkannt und soll zu einem späteren Zeitpunkt ergänzt werden.

Die Skala gilt nicht für jedes Ereignis in einer kerntechnischen oder sonstigen Einrichtung, in der radioaktive Stoffe oder ionisierende Strahlung gehandhabt werden. Sie ist weder auf Ereignisse zu beziehen, die einzig mit Arbeitssicherheit verbunden sind, noch auf andere Ereignisse ohne Bezug zur radiologischen oder kerntechnischen Sicherheit. So werden Ereignisse, die ausschließlich eine chemische Gefahr, wie z. B. die gasförmige Freisetzung von nicht radioaktivem Material, zur Folge haben oder ein Ereignis wie ein Sturz oder ein elektrischer Stromschlag, der zur Verletzung oder zum Tod eines Arbeiters in einer kerntechnischen Anlage führt, nicht anhand dieser Bewertungsskala klassifiziert. Ebenso würden Ereignisse, die die Verfügbarkeit einer Turbine oder des Generators beeinflussen, nicht auf der Skala klassifiziert werden, sofern sie die Sicherheit des Reaktors in keiner Weise beeinträchtigen. Dies trifft auch auf Brände zu, von denen weder eine mögliche radiologische Gefahr noch eine Beeinträchtigung von sicherheitstechnisch wichtigen Einrichtungen ausgeht.

1.4 Grundsätze der Bewertungskriterien von INES

Jedes Ereignis ist vor dem Hintergrund aller in Abschnitt 1.2 beschriebenen relevanten Bewertungsaspekte zu betrachten:

–

Auswirkungen auf Mensch und Umwelt;

–

Beeinträchtigung radiologischer Barrieren und Überwachungsmaßnahmen in Anlagen und Einrichtungen;

–

Beeinträchtigung von Sicherheitsvorkehrungen.

Die Bewertung des Ereignisses erfolgt in der höchsten Stufe, die sich aus der Bewertung aller drei Bewertungsaspekte ergibt. In den folgenden Abschnitten werden kurz die Grundsätze für die Bewertung für jeden der drei Bewertungsaspekte dargelegt.

1.4.1 Mensch und Umwelt

Der einfachste Ansatz für eine Bewertung der tatsächlichen Auswirkungen auf den Menschen besteht darin, die Bewertung von Ereignissen nach den tatsächlich aufgetretenen Strahlenexpositionen vorzunehmen. Für Unfälle ist dies jedoch keine ausreichende Vorgehensweise, um die Bedeutung des Unfalls richtig zu bewerten. So kann z. B. die effiziente Durchführung von Notfallschutzmaßnahmen für die Evakuierung der Bevölkerung dazu führen, dass nur relativ geringe Strahlenexpositionen auftreten, obwohl es in der Anlage zu einem Unfall gekommen ist. Die ausschließliche Bewertung eines solchen Ereignisses nach den aufgetretenen Strahlenexpositionen vermittelt weder die sicherheitstechnische Bedeutung, noch zieht sie mögliche weitergehende Kontaminationen in Betracht. Deshalb wurden für die Unfallstufen von INES (4 bis 7) Kriterien erarbeitet, die auf der Menge der freigesetzten radioaktiven Stoffe und nicht auf der resultierenden Strahlenexposition basieren. Es steht außer Frage, dass diese Kriterien nur für Tätigkeiten gelten, die ein Potenzial für eine Ausbreitung einer bedeutenden Menge radioaktiver Stoffe in sich bergen.

Zur Berücksichtigung der großen Bandbreite radioaktiver Stoffe, die potenziell freigesetzt werden können, wird bei der Bewertungsskala das Konzept der „radiologischen Äquivalenz“ angewendet. Als Grundlage für die Bewertung wurde das Isotop I-131 gewählt. Für andere Isotope werden Umrechnungsfaktoren angegeben, um die Vergleichbarkeit aufgrund der effektiven Dosis herzustellen.

Für Ereignisse mit geringer Auswirkung auf Mensch und Umwelt basiert die Einstufung auf der resultierenden Strahlenexposition und der Anzahl der exponierten Personen.

(Die Kriterien für Freisetzungen wurden im vorigen deutschen INES-Handbuch [GRS-111] als Kriterien für „Radiologische Auswirkungen außerhalb der Anlage“ bezeichnet.)

1.4.2 Radiologische Barrieren und Überwachungsmaßnahmen

In Einrichtungen, in denen größere Mengen radioaktiver Stoffe gehandhabt werden und eine Standortgrenze eindeutig als Teil der Genehmigung definiert ist, können Ereignisse auftreten, bei denen es zu einem bedeutsamem Versagen von radiologischen Barrieren jedoch zu keinen bedeutenden Auswirkungen für den Menschen und die Umwelt kommt. Dies tritt z. B. bei einem unterstellten Schmelzen des Reaktorkerns mit Verbleib des radioaktiven Materials im Sicherheitsbehälter auf. Ebenso können in solchen Einrichtungen Ereignisse auftreten, bei denen es zu einer bedeutenden Kontamination oder einem erhöhten Strahlungsniveau kommt, wo jedoch weiterhin in erheblichem Maße gestaffelte Sicherheitsvorkehrungen vorhanden sind, die bedeutende Auswirkungen auf Mensch und Umwelt verhindern. Auch wenn es in beiden Fällen zu keinen bedeutenden Auswirkungen auf Personen außerhalb der Anlagenbegrenzung kommt, so resultiert daraus doch im ersten Fall eine Erhöhung der Wahrscheinlichkeit des Eintretens solcher Auswirkungen. Im zweiten Fall liegt ein bedeutsames Versagen der radiologischen Überwachungsmaßnahmen vor. Es ist wichtig bei der Einstufung derartiger Ereignisse mit INES diese Gesichtspunkte angemessen zu berücksichtigen.

Diese Gesichtspunkte betreffende Bewertungsaspekte gelten nur für genehmigte Einrichtungen, in denen größere Mengen radioaktiver Stoffe gehandhabt werden. (Diese Kriterien wurden gemeinsam mit den Kriterien bei Exposition von beruflich strahlenexponierten Personen im vorigen deutschen INES-Handbuch [GRS-111] als Kriterien für „Radiologische Auswirkungen innerhalb der Anlage“ bezeichnet.) Für Ereignisse im Zusammenhang mit radioaktiven Strahlenquellen und der Beförderung radioaktiver Stoffe müssen lediglich die Bewertungsaspekte für Auswirkungen auf Mensch und Umwelt sowie für das Konzept der gestaffelten Sicherheitsvorkehrungen berücksichtigt werden.

1.4.3 Gestaffelte Sicherheitsvorkehrungen

INES ist für die Anwendung auf alle radiologischen Ereignisse sowie alle sicherheitsrelevanten kerntechnischen Ereignisse vorgesehen, von denen die große Mehrheit durch Versagen von Einrichtungen oder organisatorischen Maßnahmen verursacht wird. Viele dieser Ereignisse haben keine tatsächlichen Auswirkungen, können jedoch unterschiedliche sicherheitstechnische Bedeutungen haben. Würden diese Ereignisse nur auf der Grundlage der tatsächlichen Auswirkungen eingestuft, so ergäbe dies eine Einstufung als „unterhalb der Skala/Stufe 0“. Der Nutzen der Bewertungsskala wäre dann stark eingeschränkt. Daher wurde bei der Einführung von INES vereinbart, dass sie nicht nur die tatsächlichen Folgen sondern auch die potenziellen Auswirkungen von Ereignissen abdecken soll.

Um eine sogenannte „Beeinträchtigung der gestaffelten Sicherheitsvorkehrungen“ abzudecken, wurden mehrere Kriterien entwickelt. Diese Kriterien berücksichtigen, dass alle Tätigkeiten, darunter die Beförderung, die Lagerung und die Verwendung von radioaktiven Stoffen und Strahlenquellen, eine Reihe von Sicherheitsvorkehrungen umfassen. Die Anzahl und Zuverlässigkeit dieser Vorkehrungen hängt von deren Konzeption sowie von der Größenordnung des radiologischen Risikos ab. Es können Ereignisse auftreten, bei denen einige dieser Sicherheitsvorkehrungen versagen, andere jedoch tatsächliche Auswirkungen verhindern. Um die Bedeutung solcher Ereignisse angemessen zu vermitteln, wurden Kriterien definiert, die vom Grad der Beeinträchtigung der Sicherheitsvorkehrungen und von den maximal möglichen Folgen bei einer Freisetzung radioaktiver Stoffe abhängen.

Da diese Ereignisse nur eine erhöhte Wahrscheinlichkeit eines Unfalls aufweisen, ohne tatsächliche Konsequenzen nach sich zu ziehen, werden sie maximal mit Stufe 3 bewertet (d. h. ernster Störfall). Diese maximal erreichbare Stufe gilt weiterhin nur für Fälle mit dem Potenzial – bei Versagen aller Sicherheitsvorkehrungen – für einen bedeutsamen Unfall, d. h. einem Unfall, der als Stufe 5, 6 oder 7 auf der Skala eingestuft würde. Für Ereignisse bei Tätigkeiten mit einem bedeutend geringeren Risikopotenzial, z. B. der Beförderung von Strahlenquellen aus der Medizin oder der Industrie mit geringen Aktivitätsmengen, ist die maximale Einstufung unter Berücksichtigung der gestaffelten Sicherheitsvorkehrungen entsprechend geringer.

Im Aspekt „Beeinträchtigung der gestaffelten Sicherheitsvorkehrungen“ werden auch die sogenannten „zusätzlichen Faktoren“ behandelt. Gemeint sind damit Ereignisse, die durch

–

Ausfälle mit gemeinsamer Ursache,

–

Verletzungen der Sicherheitsspezifikation sowie

–

Mängel in der Sicherheitskultur

verursacht wurden.

Um diese zusätzlichen Faktoren zu berücksichtigen, ermöglichen die Kriterien die Höherstufung um eine Stufe im Vergleich zur Basiseinstufung, die unter Berücksichtigung der Bedeutung des tatsächlichen technischen oder organisatorischen Versagens vorgenommen wurde. Es ist zu beachten, dass bei Ereignissen im Zusammenhang mit Strahlenquellen und der Beförderung von radioaktiven Stoffen die Möglichkeit der Höherstufung aufgrund von zusätzlichen Faktoren als Teil der Bewertungstabellen und nicht als separate Betrachtung enthalten ist.

Die detaillierten Bewertungskriterien, die zur Umsetzung dieser Prinzipien entwickelt worden sind, sind im vorliegenden Dokument definiert. Es werden drei spezifische, jedoch miteinander im Einklang stehende Herangehensweisen verwendet:

–

für Ereignisse bei der Beförderung und im Zusammenhang mit Strahlenquellen,

–

für Ereignisse von in Betrieb befindlichen Leistungsreaktoren und

–

für Ereignisse in den übrigen genehmigten Einrichtungen. Dies schließt Ereignisse in Leistungsreaktoren in abgeschaltetem Zustand oder in Forschungsreaktoren sowie Ereignisse bei der Stilllegung kerntechnischer Anlagen und Einrichtungen ein.

Abgestimmt auf die jeweilige Herangehensweise befasst sich jeweils ein eigenes Kapitel mit der Einstufung nach dem Aspekt Beeinträchtigung von gestaffelten Sicherheitsvorkehrungen. Jedes Kapitel ist dabei eigenständig. Dies erlaubt dem Anwender, sich auf die Anleitung für das jeweilige zu betrachtende Ereignis zu konzentrieren.

Die Bewertungskriterien für Ereignisse bei der Beförderung und im Zusammenhang mit Strahlenquellen sind in einer Reihe von Tabellen enthalten, welche alle drei Elemente des Systems von gestaffelten Sicherheitsvorkehrungen miteinander verbinden. Maßgeblich sind u. a. die Kategorie der Quelle (d. h. die Menge an radioaktiven Stoffen), das Ausmaß der Beeinträchtigung von Sicherheitsvorkehrungen sowie die zusätzlichen Faktoren.

Die Kriterien für in Betrieb befindliche Leistungsreaktoren bieten eine grundsätzliche Einstufung anhand von zwei Tabellen und erlauben eine Höherstufung um eine Stufe nach Berücksichtigung der zusätzlichen Faktoren. Die Basiseinstufung hängt davon ab, ob die Sicherheitsvorkehrungen tatsächlich angefordert worden sind. Bedeutsam sind weiterhin das Ausmaß der Beeinträchtigung der Sicherheitsvorkehrungen und die Wahrscheinlichkeit des Auftretens eines Ereignisses, das die Anforderungen dieser Sicherheitsvorkehrungen erfordern würde.

Die Kriterien für Ereignisse in Reaktoren in abgeschaltetem Zustand, in Forschungsreaktoren und anderen genehmigten Einrichtungen bieten eine grundsätzliche Einstufung aufgrund der noch verbleibenden Sicherheitsvorkehrungen in Abhängig­keit der maximal möglichen Auswirkungen im Fall eines Versagens aller Sicherheitsvorkehrungen. Bei der Bewertung wird unterstellt, dass Sicherheitsvorkehrungen als sogenannte „Sicherheitsbarriere“ (englisch „safety layer“) betrachtet werden können und die Anzahl solcher Sicherheitsbarrieren summiert wird. Zusätzliche Faktoren können gegebenenfalls durch die Möglichkeit einer Höherstufung der Basiseinstufung um eine Stufe berücksichtigt werden.

1.4.4 Abschließende Einstufung

Die abschließende Einstufung eines Ereignisses berücksichtigt alle oben beschriebenen relevanten Bewertungsaspekte. Jedes Ereignis sollte auf der Grundlage der einschlägigen Bewertungsaspekte betrachtet werden. Die höchste abgeleitete Einstufung ist dem Ereignis zuzuordnen. Eine abschließende Prüfung im Vergleich mit der allgemeinen Beschreibung der Stufen von INES gewährleistet die Angemessenheit der Einstufung. Der allgemeine Ansatz zur Einstufung ist in den Ablaufdiagrammen in Kapitel 7 zusammengefasst.

1.5 Anwendung der Skala

INES ist ein Kommunikationswerkzeug. Ihr primärer Zweck besteht darin, die Kommunikation zwischen der Fachwelt, den Medien und der Öffentlichkeit hinsichtlich der sicherheitstechnischen oder radiologischen Bedeutung von Ereignissen zu erleichtern und so ein gemeinsames Verständnis zu fördern. Eine genauere Anleitung zur Anwendung von INES als Teil der Vermittlung ereignisspezifischer Informationen wird in Abschnitt 1.6 gegeben. Die Meldung von Ereignissen an das mit INES verbundene internationale Kommunikationssystem NEWS stellt kein formales Meldesystem dar. Für die überwiegende Mehrheit der Ereignisse sind solche Meldungen nur in der Region oder dem Land von Interesse, in dem sie aufgetreten sind. Die an INES teilnehmenden Länder haben in der Regel nationale Meldeverfahren etabliert. Um jedoch internationale Meldungen über nationale Ereignisse, welche auch im Ausland ein größeres Interesse hervorrufen könnten zu erleichtern, haben die IAEO und die OECD/NEA ein Kommunikationsnetzwerk entwickelt. Dieses ermöglicht die Angabe von Einzelheiten eines Ereignisses auf einem Formular zur Ereigniseinstufung (Event Rating Form, ERF). Das Formular wird dann unter allen INES-Mitgliedstaaten verbreitet. Dieser Web-basierte INES-Informationsdienst wird von den INES-Mitgliedern seit 2001 dazu genutzt, die Fachwelt sowie die Medien und die Öffentlichkeit über Ereignisse und ihre Einstufung zu informieren.

Wichtig ist, dass die Meldungen ohne Zeitverzug erfolgen. Andernfalls könnte es zu Irritationen hinsichtlich der sicherheitstechnischen Bedeutung eines Ereignisses durch Spekulationen in den Medien und der Öffentlichkeit kommen. In Situationen, die eine frühzeitige Einschätzung der Bedeutung des Ereignisses nicht erlauben, empfiehlt sich die Herausgabe einer vorläufigen Einstufung auf der Grundlage der verfügbaren Informationen und der Einschätzung von Experten. Die endgültige Einstufung sollte dann zu einem späteren Zeitpunkt verbreitet und gegebenenfalls eine unter­schiedliche Einstufung zur vorläufigen Meldung erläutert werden.

INES eignet sich nicht, um die Sicherheit verschiedener Anlagen und Einrichtungen, Organisationen oder Länder zu vergleichen. Zwar sind Informationen über Ereignisse der Stufe 2 und höher in der Regel verfügbar, doch erschwert die statistisch gesehen kleine Anzahl solcher Ereignisse einen sinnvollen internationalen Vergleich. Die Vorgehensweisen für die Information der Öffentlichkeit über geringfügige Ereignisse können in den verschiedenen Ländern unterschiedlich sein. Auch ist die Gewährleistung einer in allen Fällen einheitlichen Einstufung von Ereignissen an der Grenze zwischen Stufe „Unterhalb der Skala/Stufe 0“ und Stufe 1 schwierig.

1.6 Mitteilung ereignisbezogener Informationen

1.6.1 Allgemeine Grundsätze

Die Bewertung von Ereignissen nach INES sollte vor Ort, national und international als Teil einer Kommunikationsstrategie angewendet werden. Einige allgemeine Grundsätze sollten eingehalten werden. Eine Anleitung zur internationalen Kommunikation ist in Abschnitt 1.6.2 enthalten.

Bei der Mitteilung von Ereignissen unter Verwendung der INES-Einstufung ist zu bedenken, dass es sich bei der Zielgruppe primär um die Medien und die Öffentlichkeit handelt. Aus diesem Grunde ist Folgendes zu berücksichtigen:

–

Verwendung einer einfachen Sprache und Vermeidung technischen Jargons in der zusammenfassenden Darstellung des Ereignisses;

–

Vermeidung von Abkürzungen, insbesondere wenn Einrichtungen oder Systeme genannt werden, z. B. Hauptkühlmittelpumpe anstatt HKMP;

–

Nennung der tatsächlichen, bestätigten Auswirkungen, z. B. deterministische gesundheitliche Auswirkungen auf beruflich strahlenexponierte Personen und/oder die Bevölkerung;

–

Abschätzung der Anzahl der exponierten Personen – beruflich strahlenexponierte Personen und Bevölkerung – unter Angabe der bisher aufgetretenen Strahlenexposition;

–

klare Bestätigung in den Fällen, in denen es keine oder geringe Auswirkungen auf Mensch und Umwelt gibt;

–

Angabe getroffener Schutzmaßnahmen.

Folgende Elemente sind im Zusammenhang mit der Meldung von Ereignissen in kerntechnischen Anlagen relevant:

–

Datum und Uhrzeit des Ereignisses;

–

Name und Lage der Einrichtung;

–

Anlagentyp;

–

wesentliche involvierte Systeme, sofern relevant;

–

allgemeine Erklärung, dass es eine/keine Freisetzung von Radioaktivität in die Umwelt gegeben hat oder dass es Auswirkungen/keine oder sehr geringe Auswirkungen für Mensch und Umwelt gibt.

Zusätzlich sind die folgenden Informationen relevante Bestandteile der Ereignisbeschreibung bei Ereignissen, die sich im Zusammenhang mit Strahlenquellen oder der Beförderung von radioaktiven Stoffen ereignen:

–

die mit dem Ereignis im Zusammenhang stehenden Radionuklide;

–

der Anwendungszweck der Strahlenquelle sowie ihre Kategorie;

–

der Zustand der Strahlenquelle und der dazugehörigen Verpackung bzw. Vorrichtungen.

Sofern die Quelle verloren gegangen ist, sollte jede dienliche Information gegeben werden, um die Strahlenquelle oder die Vorrichtungen zu identifizieren, z. B. Registrier- bzw. Serien-Nummer(n).

1.6.2 Internationale Kommunikation

Wie in Abschnitt 1.5 erwähnt, unterhält die IAEO ein System zur einfachen internationalen Kommunikation von Ereignissen. Hier muss berücksichtigt werden, dass dieser Service kein formales Meldesystem darstellt und dass das System auf freiwilliger Basis betrieben wird. Sein Zweck liegt darin, die Kommunikation und das Verständnis zwischen der Fachwelt (Industrie und Aufsichtsbehörden), den Medien und der Öffentlichkeit bezüglich der sicherheitstechnischen und radiologischen Bedeutung von Ereignissen, die ein internationales Medieninteresse hervorgerufen haben oder wahrscheinlich hervorrufen werden, zu erleichtern. Darüber hinaus bietet die Verwendung dieses Systems Vorteile bei der Kommunikation von Ereignissen bei der grenzüberschreitenden Beförderung.

Über 60 Staaten (Angaben von 2009) haben sich zu einer Mitwirkung am INES-System bereit erklärt, da sie die Wichtigkeit einer offenen Kommunikation über die Bedeutung von Ereignissen erkannt haben.

Alle Länder werden nachdrücklich dazu aufgefordert, Ereignisse (wenn möglich innerhalb von 24 Stunden) nach den folgenden vereinbarten Kriterien international zu kommunizieren:

–

Ereignisse der Stufe 2 und höher; oder

–

Ereignisse, die international das Interesse der Öffentlichkeit wecken.

Anerkanntermaßen gibt es Fälle, in denen ein längerer Zeitraum notwendig ist, um die tatsächlichen Auswirkungen des Ereignisses feststellen oder abschätzen zu können. Unter diesen Umständen sollte eine provisorische Einstufung vorgenommen werden. Die endgültige Einstufung folgt dann zu einem späteren Zeitpunkt.

Die Ereignisse werden in das System von den „INES National Officers“ eingespeist. Diese werden von den Regierungen der jeweiligen Mitgliedstaaten offiziell benannt. Das System umfasst:

–

Ereignisbeschreibungen,

–

Einstufungen nach INES,

–

Pressemitteilungen (in der Landessprache und in Englisch)

–

sowie eine technische Dokumentation für Experten.

Die Ereignisbeschreibungen, Einstufungen und Pressemitteilungen sind der allgemeinen Öffentlichkeit ohne Registrierung im Internet (http://www-news.iaea.org/Default.aspx) zugänglich. Der Zugriff auf die technische Dokumentation ist auf speziell benannte und registrierte Experten begrenzt.

Die wesentlichen Punkte, die für ein bestimmtes Ereignis zu berücksichtigen sind, sind in einem Formblatt zur Ereigniseinstufung (Event Rating Form, ERF)² zusammengestellt. Die Informationen, die der Öffentlichkeit zugänglich gemacht werden, sollten den in Abschnitt 1.6.1 aufgelisteten Grundsätzen folgen. Die ERF wird von dem Land versendet, in dem das Ereignis aufgetreten ist. Bei der Anwendung der Skala auf die Beförderung radioaktiver Stoffe erschwert die multinationale Natur einiger Transportereignisse die Meldung. Dennoch sollte das ERF für jedes Ereignis von nur einem Staat eingereicht werden. Die anzuwendenden Grundsätze sind wie folgt:

–

Es wird erwartet, dass der Staat, in dem das Ereignis entdeckt wird, die Diskussion darüber initiiert, welcher Staat die ERF erstellt.

–

Generell gilt, dass im Falle tatsächlicher Auswirkungen des Ereignisses der Staat, in dem die Auswirkungen auftreten, wahrscheinlich der geeignetste Staat ist, um die ERF zu erstellen. Umfasst das Ereignis lediglich Fehler bei der Organisation radiologischer Überwachungsmaßnahmen oder bei der Verpackung, ist der Staat, in dem das Versandstück zu dem Zeitpunkt gerade befördert wird, wahrscheinlich der geeignete Staat, um die ERF zu erstellen. Im Fall eines verloren gegangenen Versandstücks ist wahrscheinlich der Herkunftsstaat des Absenders der geeignete, um die Einstufung und Veröffentlichung des Ereignisses vorzunehmen.

–

Falls Informationen von anderen Staaten benötigt werden, können diese über die zuständige Behörde eingeholt werden und sollten bei der Erstellung der ERF Berücksichtigung finden.

–

Bei Ereignissen in Kernkraftwerken ist es unumgänglich, dass die Anlage, ihr Standort und der Anlagentyp identifiziert werden.

–

Für Ereignisse im Zusammenhang mit Strahlenquellen kann es hilfreich sein, einige technische Angaben zur Quelle/Vorrichtung zu machen oder Registriernummern der Quelle/Vorrichtungen anzugeben. So kann über das INES-System eine schnelle internationale Verbreitung solcher Informationen gewährleistet werden.

–

Bei kerntechnischen Einrichtungen sollen die grundlegenden Informationen den Namen der Anlage, den Anlagentyp, die Lage sowie die Auswirkungen auf Mensch und Umwelt umfassen. Obwohl bereits andere Mechanismen für den internationalen Austausch von Betriebserfahrungen existieren, sorgt das INES-System für die erste Mitteilung des Ereignisses an Medien, Öffentlichkeit und Fachwelt.

–

Die ERF beinhaltet auch die Begründung der Einstufung. Wenn dies auch nicht Teil der öffentlich zugänglichen Information ist, so ist es doch für das Verständnis der National Officers bezüglich der Einstufung des Ereignisses sowie für die Beantwortung von möglichen Fragen nützlich. Die Erläuterung der Einstufung sollte unter Hinweis auf die jeweiligen Teile der Einstufungsprozedur deutlich zeigen, wie es zu der Einstufung gekommen ist.

1.7 Gliederung des Handbuchs

Dieses Handbuch ist in sieben Hauptkapitel untergliedert:

Kapitel 1 gibt einen Überblick über INES.

Kapitel 2 gibt die detaillierte Anleitung zur Einstufung von Ereignissen hinsichtlich ihrer Auswirkungen auf Mensch und Umwelt auch anhand von Beispielen.

Kapitel 3 enthält die detaillierte Anleitung zur Einstufung von Ereignissen hinsichtlich ihrer Beeinträchtigung von radiologischen Barrieren und Überwachungsmaßnahmen. Dies geschieht ebenfalls anhand von Beispielen.

Kapitel 4, 5 und 6 beinhalten eine detaillierte Anleitung zur Einstufung von Ereignissen hinsichtlich der Beeinträchtigung von gestaffelten Sicherheitsvorkehrungen.

–

Kapitel 4 enthält die Anleitung zur Einstufung hinsichtlich der Beeinträchtigung von gestaffelten Sicherheitsvorkehrungen für alle Ereignisse im Zusammenhang mit der Beförderung radioaktiver Stoffe und mit Strahlenquellen. Dabei gibt es drei Ausnahmen:

Ereignisse die sich in

–

Beschleunigern,

–

Einrichtungen zur Herstellung oder zum Versand von Radionukliden und

–

Einrichtungen, in denen Quellen der Kategorie 1 verwendet werden [2],

zugetragen haben. Diese werden alle in Kapitel 6 behandelt.

–

Kapitel 5 enthält die Anleitung zur Einstufung für Ereignisse in Leistungsreaktoren hinsichtlich der Beeinträchtigung von gestaffelten Sicherheitsvorkehrungen. Sie bezieht sich ausschließlich auf Ereignisse im Leistungsbetrieb des Reaktors.

–

Kapitel 6 enthält die Anleitung zur Einstufung hinsichtlich der Beeinträchtigung gestaffelter Sicherheitsvorkehrungen für Ereignisse in Anlagen des Brennstoffkreislaufs sowie Beschleunigern (z. B. Linearbeschleuniger und Zyklotrone) und zur Einstufung von Ereignissen im Zusammenhang mit einer Beeinträchtigung von Sicherheitsvorkehrungen in Einrichtungen zur Herstellung oder zum Versand von Radionukliden oder in Einrichtungen, in denen Quellen der Kategorie 1 verwendet werden. Die Einstufung von Ereignissen in Leistungsreaktoren in abgeschaltetem Zustand (bei Anlagenstillstand, endgültiger Außerbetriebnahme oder Stilllegung) sowie von Ereignissen in Forschungsreaktoren wird hier ebenfalls behandelt.

Zur Erleichterung der Einstufung von Ereignissen hinsichtlich der Beeinträchtigung von Sicherheitsvorkehrungen ist die Beschreibung des Einstufungsprozesses in drei Kapitel aufgeteilt. Jedes Kapitel enthält alle für die jeweilige Einstufung der entsprechenden Ereignisse notwendigen Inhalte, wodurch es in den Kapiteln zu einer gewissen Wiederholung kommt. In jedem der Kapitel 4 bis 6 sind erläuternde Beispiele aufgeführt.

Kapitel 7 gibt eine Zusammenfassung der Vorgehensweise zur Einstufung von Ereignissen. Die Vorgehensweise wird mit Hilfe von Ablaufdiagrammen und Beispieltabellen erläutert.

Vier Appendizes, zwei Anhänge sowie ein Literaturverzeichnis bieten einige weitere wissenschaftliche Hintergrundinformationen.

Dieses deutsche INES-Benutzerhandbuch ersetzt die Ausgabe GRS-111. Das Arbeitsmaterial, das 2006 als zusätzliche Anleitung für National Officers herausgegeben wurde [3] sowie die Klarstellung für Ereignisse mit Brennstoffschaden, die im Jahr 2004 verabschiedet wurde [4], wurden integriert.

2.1 Allgemeine Beschreibung

Die Einstufung von Ereignissen bezüglich ihrer Auswirkung auf Mensch und Umwelt berücksichtigt die tatsächlichen radiologischen Auswirkungen auf beruflich strahlenexponiertes Personal, Einzelpersonen der Bevölkerung und die Umwelt. Die Bewertung erfolgt entweder anhand der Strahlenexposition von Personen oder der Menge freigesetzter radioaktiver Stoffe. Basiert die Einstufung auf der Strahlenexposition (Individualdosis), so berücksichtigt sie auch die Anzahl der Personen, die diese Exposition erfahren haben. Bei der Einstufung sind auch die Kriterien bezüglich der gestaffelten Sicherheitsvorkehrungen (Kapitel 4 bis 6) und der radiologischen Barrieren und Überwachungsmaßnahmen (Kapitel 3) zu berücksichtigen, sofern diese Kriterien zu einer höheren Einstufung auf der Skala führen.

Im Falle eines ernsten Störfalls oder Unfalls, ist es unter Umständen nicht möglich, im Frühstadium des Ereignisses die Strahlenexposition oder das Ausmaß der Aktivitätsfreisetzung genau zu bestimmen. Es sollte jedoch möglich sein, eine erste Einschätzung des Ereignisses vorzunehmen und so eine vorläufige Einstufung durchzuführen. Dabei sollte berücksichtigt werden, dass der Zweck von INES darin besteht, zeitnah eine Information über die Bedeutung eines Ereignisses zu ermöglichen.

Ein Ereignis ohne bedeutende Freisetzung, wobei diese aber unter der Voraussetzung möglich wäre, dass das Ereignis nicht beherrscht wird, wird auf Basis des tatsächlichen, bisherigen Ereignisverlaufs (unter Anwendung aller relevanter Kriterien von INES) vorläufig eingestuft. Gegebenenfalls kann die nachfolgende Neubewertung der Auswirkungen eine Revidierung der vorläufigen Einstufung erforderlich machen.

Die Skala sollte nicht mit anderen Systemen für die Einstufung von Notfällen verwechselt und nicht als Grundlage für die Wahl von Notfallschutzmaßnahmen angewendet werden. Gleichermaßen soll der Umfang der Notfallschutzmaßnahmen nicht als Basis für die Einstufung herangezogen werden. Einzelheiten der Notfallschutzplanung variieren je nach Staat. So können in einigen Fällen Vorsorgemaßnahmen getroffen werden, auch wenn aufgrund des Ausmaßes der Aktivitätsfreisetzung diese nicht gerechtfertigt erscheinen. Daher sind das Ausmaß der Aktivitätsfreisetzung und die abgeschätzte Strahlenexposition die Grundlage für die Einstufung des Ereignisses. Die aufgrund der Umsetzung von Notfallschutzplänen getroffenen Schutzmaßnahmen sind in diesem Zusammenhang für die Einstufung nicht relevant.

In diesem Abschnitt werden zwei Arten von Kriterien beschrieben:

–

Die freigesetzte Aktivitätsmenge: anwendbar auf die Freisetzung großer Mengen radioaktiver Stoffe in die Umgebung;

–

Strahlenexposition von Personen: anwendbar auf alle anderen Situationen.

Das Verfahren für die Anwendung dieser Kriterien ist in den Ablaufdiagrammen in Kapitel 7 zusammengefasst. Es sollte jedoch berücksichtigt werden, dass für Ereignisse im Zusammenhang mit der Beförderung von radioaktiven Strahlenquellen nur die Kriterien für die Strahlenexposition von Personen angewendet werden müssen, falls es zu keiner bedeutenden Freisetzung radioaktiver Stoffe gekommen ist.

2.2 Freigesetzte Aktivität

Die vier höchsten Stufen der Skala (Stufe 4 bis 7) basieren auf der freigesetzten Aktivitätsmenge, deren Höhe über ihre radiologische Äquivalenz zu einer Freisetzung von I-131 definiert wird. Die Methode für die Bestimmung der radiologischen Äquivalenz wird in Abschnitt 2.2.2 beschrieben. Die Wahl von I-131 ist in gewissem Maße willkürlich. Es wurde ausgewählt, weil die Skala ursprünglich für Kernkraftwerke entwickelt wurde und I-131 in der Regel bei diesem Anwendungsfall ein bedeutendes freigesetztes Isotop ist.

Der Grund für die Verwendung der freigesetzten Aktivitätsmenge als Kriterium für die Einstufung anstatt der Höhe der Strahlenexposition liegt darin, dass bei solch hohen Aktivitätsfreisetzungen die tatsächliche Strahlenexposition sehr stark von den ergriffenen Schutzmaßnahmen und anderen äußeren Umständen (wie z. B. Wetterbedingungen) abhängig ist. Wenn die Schutzmaßnahmen erfolgreich sind, steigt die Strahlenexposition der Bevölkerung nicht proportional zur Freisetzungsmenge an.

2.2.1 Methoden zur Bewertung von Aktivitätsfreisetzungen

Es gibt zwei Methoden für die Einschätzung der radiologischen Bedeutung einer Aktivitätsfreisetzung. Sie richten sich nach der Quelle der Aktivitätsfreisetzung und damit nach geeigneten Annahmen für die Abschätzung der Auswirkung dieser Freisetzung.

Für luftgetragene Aktivitätsfreisetzungen aus einer kerntechnischen Einrichtung, wie z. B. einem Reaktor oder einer Anlage des Kernbrennstoffkreislaufs, sind in Tabelle 2 Umrechnungsfaktoren für die radiologische Äquivalenz zu I-131 angegeben. Die tatsächliche Aktivität des freigesetzten Isotops sollte mit dem in Tabelle 2 angegebenen Faktor multipliziert und dann mit den Werten der Definition der Stufen verglichen werden. Werden mehrere Isotope freigesetzt, sollte der äquivalente Wert für jedes dieser Isotope berechnet und dann summiert werden (siehe Beispiele 5 bis 7). Die Herleitung der nuklidspezifischen Faktoren ist in Anhang I beschrieben.

Geschieht die Freisetzung während der Beförderung von radioaktiven Stoffen oder bei der Verwendung einer radioaktiven Strahlenquelle, so sollten die D₂-Werte verwendet werden. Die D-Werte definieren eine Aktivitätsmenge, oberhalb derer eine Strahlenquelle als „gefährlich“ angesehen wird und bei der das Potenzial besteht, dass schwere deterministische Schäden verursacht werden, falls die Quelle nicht sicher gehandhabt wird. Der D₂-Wert ist „die Aktivität eines Radionuklids in einer Strahlenquelle, die – falls sie sich in einem unkontrollierten Zustand befindet und freigesetzt wird – eine Notfallsituation mit der Möglichkeit schwerer deterministischer Gesundheitsschäden auslösen könnte“ [5]. Die D₂-Werte für eine Reihe von Radionukliden sind in Anhang III aufgeführt.

Für Ereignisse mit einer nicht luftgetragenen Freisetzung, z. B. einer Freisetzung in Wasser oder einer Bodenkontamination durch Verschütten von radioaktiven Stoffen, sollte die Einstufung auf Grundlage der Strahlenexposition unter Anwendung von Abschnitt 2.3 erfolgen. Die Freisetzung einer Flüssigkeit, aus der eine Strahlenexposition resultiert, die bedeutend höher ist als die der Stufe 3 entsprechende Strahlenexposition, müsste mit Stufe 4 oder höher eingestuft werden. Da jedoch die Bestimmung der radiologischen Äquivalenz in diesem Fall standortspezifisch ist, kann an dieser Stelle hierzu keine detaillierte Anleitung gegeben werden.

Tabelle 2: Radiologische Äquivalenz zu I-131 für Freisetzungen in die Atmosphäre

2.2.2 Definition der Bewertungsstufen auf der Grundlage der freigesetzten Aktivität³

Stufe 7

„Ein Ereignis, das zu einer Freisetzung radioaktiver Stoffe in die Umgebung führt, die radiologisch äquivalent ist zu einer Freisetzung von mindestens 50 000 Terabecquerel I-131 in die Atmosphäre.“

Dies entspricht einem großen Anteil des Kerninventars eines Leistungsreaktors, üblicherweise einem Gemisch aus kurzlebigen und langlebigen Radionukliden. Bei einer Aktivitätsfreisetzung in dieser Größenordnung ist über weite Gebiete, unter Umständen in mehr als einem Staat, mit dem Auftreten stochastischer Gesundheitsschäden und möglicherweise deterministischer Schäden zu rechnen. Ebenso sind langfristige Auswirkungen auf die Umwelt wahrscheinlich. Es kann davon ausgegangen werden, dass Schutzmaßnahmen wie der Aufenthalt in Gebäuden sowie eine Evakuierung als notwendig erachtet werden, um gesundheitlichen Auswirkungen auf die Bevölkerung vorzubeugen oder diese zu begrenzen.

Stufe 6

„Ein Ereignis, das zu einer Freisetzung radioaktiver Stoffe in die Umgebung führt, die radiologisch äquivalent ist zu einer Freisetzung in der Größenordnung von mindestens 5 000 bis zu 50 000 Terabecquerel I-131 in die Atmosphäre.“

Bei einer Aktivitätsfreisetzung in dieser Höhe ist es sehr wahrscheinlich, dass Schutzmaßnahmen wie der Aufenthalt in Gebäuden sowie eine Evakuierung als notwendig erachtet werden, um gesundheitlichen Auswirkungen auf die Bevölkerung vorzubeugen oder diese zu begrenzen.

Stufe 5

„Ein Ereignis, das zu einer Freisetzung radioaktiver Stoffe in die Umgebung führt, die radiologisch äquivalent ist zu einer Freisetzung in der Größenordnung von mindestens 500 bis zu 5 000 Terabecquerel I-131 in die Atmosphäre.“

oder

„Ein Ereignis, das zu einer Freisetzung und Ausbreitung aus einer radioaktiven Strahlenquelle mit einer Aktivität von mehr als dem 2 500-fachen des D₂-Wertes für die freigesetzten Isotope führt.“

Aufgrund der tatsächlichen Aktivitätsfreisetzung wird wahrscheinlich eine Schutzmaßnahme erforderlich sein, wie z. B. lokal begrenzt der Aufenthalt in Gebäuden und/oder eine Evakuierung zur Vorbeugung oder Minimierung von gesundheitlichen Auswirkungen.

Stufe 4

„Ein Ereignis, das zu einer Freisetzung radioaktiver Stoffe in die Umgebung führt, die radiologisch äquivalent ist zu einer Freisetzung in der Größenordnung von mindestens 50 bis zu 500 Terabecquerel I-131 in die Atmosphäre.“

oder

„Ein Ereignis, das zu einer Freisetzung und Ausbreitung aus einer radioaktiven Strahlenquelle mit einer Aktivität von mehr als dem 250-fachen des D₂-Wertes für die freigesetzten Isotope führt.“

Bei einer solchen Freisetzung sind Schutzmaßnahmen wahrscheinlich nicht notwendig, mit Ausnahme von einer lokal begrenzten Überwachung von Lebensmitteln.

2.3 Strahlenexposition von Personen

Das einfachste Kriterium beruht auf der durch ein Ereignis verursachten Strahlenexposition von Personen. Die Stufen 1 bis 6 beinhalten eine Definition, die auf diesem Kriterium basiert.⁴ Wenn nicht anders ausgeführt (siehe Kriterien zur Stufe 1), sind diese Kriterien sowohl bei einer tatsächlichen als auch bei einer potentiellen Strahlenexposition⁵, die aus einem einzelnen einzustufenden Ereignis resultiert (d. h. ohne kumulierte Strahlenexpositionen), anzuwenden. Die Kriterien bestimmen die minimale Einstufung, wenn eine Person oberhalb der gegebenen Kriterien exponiert worden ist (Abschnitt 2.3.1), und eine höhere Einstufung, wenn mehrere Personen oberhalb dieser Kriterien exponiert worden sind (Abschnitt 2.3.2).

2.3.1 Bestimmung der minimalen Einstufung bei Strahlenexposition einer Person

Stufe 4 ist die niedrigste Stufe für Ereignisse mit

(1)

„Auftreten eines unmittelbaren Todesfalls als Folge einer Strahlenexposition“

oder

(2)

„wahrscheinlichem Auftreten eines deterministischen Schadens mit Todesfolge als Ergebnis einer Ganzkörper-Strahlenexposition, die zu einer absorbierten Dosis⁶ in der Größenordnung von einigen Gy führt“.

In Anhang II werden weitere Angaben zu deterministischen Effekten gegeben, z. B. zu Schwellenwerten für tödliche und nicht tödliche deterministische Effekte.

Stufe 3 ist die niedrigste Stufe für Ereignisse mit

(1)

„Auftreten oder wahrscheinlichem Auftreten eines nicht tödlichen deterministischen Schadens (siehe Anhang II für weitere Angaben)“

oder

(2)

„Strahlenexposition, die zu einer effektiven Dosis führt, die höher ist als das Zehnfache des gesetzlichen Jahresgrenzwertes der effektiven Dosis für beruflich strahlenexponierte Personen“.

Stufe 2 ist die niedrigste Stufe für Ereignisse mit

(1)

„Strahlenexposition einer Einzelperson der Bevölkerung, die zu einer effektiven Dosis oberhalb von 10 mSv führt“

oder

(2)

„Strahlenexposition von beruflich strahlenexponierten Personen über die gesetzlichen jährlichen Dosisgrenzwerte hinaus“.⁷

Die Stufe 1 wird hier nur der Vollständigkeit halber aufgeführt. Die Einstufung eines solchen Ereignisses erfolgt nicht aufgrund von radiologischen Kriterien sondern aufgrund der Beeinträchtigung von Sicherheitsvorkehrungen (Kapitel 4 bis 6). Eine solche Bewertung sollte geprüft werden, falls eine

(1)

„Strahlenexposition einer Einzelperson der Bevölkerung über die gesetzlichen Jahresdosisgrenzwerte hinaus;“ oder eine

(2)

„Strahlenexposition einer beruflich strahlenexponierten Person über Dosisrichtwerte hinaus;“⁸ oder eine

(3)

„kumulierte Strahlenexposition einer beruflich strahlenexponierten Person oder einer Einzelperson der Bevölkerung über die gesetzlichen Jahresdosisgrenzwerte hinaus.“

aufgetreten ist. Eine nähere Erläuterung der Einstufung nach dem Bewertungsaspekt Beeinträchtigung von Sicherheitsvorkehrungen ist den Kapiteln 4 bis 6 zu entnehmen.

2.3.2 Berücksichtigung der Anzahl exponierter Personen

Hat mehr als eine Person eine Strahlenexposition erfahren, so sollte die Anzahl der Personen, die jeder der in Abschnitt 2.3.1 definierten Stufen zuzuordnen ist, abgeschätzt werden. Dabei sollte in jedem Fall die Einstufung unter Verwendung der in den nachfolgenden Absätzen angegebenen Anleitung gegebenenfalls nach oben korrigiert werden.

Für Strahlenexpositionen, die tatsächlich oder wahrscheinlich keine deterministischen Schäden nach sich ziehen, sollte die in Abschnitt 2.3.1 festgelegte minimale Einstufung um eine Stufe nach oben korrigiert werden, wenn 10 oder mehr Personen den für diese Stufe festgelegten Wert der Strahlenexposition erfahren haben. Sind 100 oder mehr Personen betroffen, so sollte die Bewertung um zwei Stufen nach oben korrigiert werden.

Für Strahlenexpositionen, die deterministische Schäden zur Folge haben oder die wahrscheinlich deterministische Schäden nach sich ziehen werden, wird ein konservativerer Ansatz verwendet. Hier sollte die Einstufung um eine Stufe nach oben korrigiert werden, wenn mehr als 3 Personen über dem für diese Stufe definierten Wert exponiert wurden. Wurden mehr als 30 Personen dementsprechend exponiert, so sollte die Einstufung um zwei Stufen nach oben korrigiert werden.⁹

Eine zusammenfassende Tabelle der in diesem und dem vorhergehenden Abschnitt vorgestellten Kriterien findet sich in Abschnitt 2.3.4.

Wenn mehrere Personen in unterschiedlichem Maße exponiert worden sind, erfolgt die Einstufung des Ereignisses aufgrund des höchsten aus dem beschriebenen Prozess abgeleiteten Wertes. Führt z. B. ein Ereignis zu einer Strahlenexposition von 15 Personen aus der Bevölkerung mit einer effektiven Dosis von 20 mSv, so ist die minimale Einstufung für einen solchen Dosiswert die Stufe 2. Zieht man nun die Anzahl der exponierten Personen in Betracht (15), so führt dies zu einer Erhöhung um eine Stufe, d. h. auf Stufe 3.

Hat jedoch nur eine Einzelperson der Bevölkerung eine effektive Dosis von 20 mSv erhalten und haben weitere 14 Personen effektive Dosen zwischen einem und 10 mSv erhalten, ergäbe sich auf der Grundlage der Person, die eine effektive Dosis von 20 mSv erhalten hat, eine Einstufung auf Stufe 2 (minimale Einstufung, nicht höhergestuft, da nur eine Person betroffen). Basierend auf den 14 Personen, die eine effektive Dosis von mehr als 1 mSv, aber weniger als 10 mSv erhalten haben, erfolgt eine Einstufung mit Stufe 2 (minimale Einstufung auf Stufe 1, Höherstufung um eine Stufe, da mehr als 10 Personen betroffen sind). Damit wäre die abschließende Bewertung des Ereignisses Stufe 2.

2.3.3 Methoden zur Dosisabschätzung

Die Methode für die Abschätzung der Strahlenexposition von beruflich strahlenexponierten Personen und der Bevölkerung sollte realistisch sein und den entsprechenden nationalen Vorgaben für die Dosisabschätzung folgen. Die Abschätzung sollte auf einem realistischen Szenario basieren, in dem alle Schutzmaßnahmen berücksichtigt werden.

Wenn nicht mit Sicherheit bekannt ist, ob einzelne Personen strahlenexponiert wurden (falls z. B. nachträglich festgestellt wird, dass ein Versandstück nicht ausreichend abgeschirmt war), sollte die wahrscheinliche Strahlenexposition abgeschätzt werden. Auf der Grundlage einer Rekonstruktion des wahrscheinlichen Szenarios sollte dann die zutreffende Stufe der Skala bestimmt werden.

2.3.4 Zusammenfassung

Die in Abschnitt 2.3 dargelegte Vorgehensweise ist in Tabelle 3 zusammengefasst und berücksichtigt das Ausmaß der Strahlenexposition sowie die Anzahl der exponierten Personen.

Tabelle 3: Überblick über die Einstufungen auf der Grundlage der Strahlenexposition von Personen

2.4 Anwendungsbeispiele

Anhand der folgenden Beispiele soll das in den vorangegangenen Abschnitten beschriebene Vorgehen zur Einstufung von Ereignissen veranschaulicht werden. Die Beispiele beruhen auf tatsächlichen Ereignissen, die jedoch leicht modifiziert wurden, um die Anwendung der verschiedenen Aspekte zu verdeutlichen. Die in diesem Kapitel vorgenommene Einstufung ist nicht notwendigerweise die endgültige Einstufung, da hierzu vorher die Betrachtung der in den Kapiteln 3 bis 6 beschriebenen Kriterien notwendig wäre.

Beispiel 1. Strahlenexposition eines Elektrikers in einem Krankenhaus – Stufe 2

Ereignisbeschreibung

Während der Installation und Justierung eines neuen Strahlentherapie-Gerätes in einem Krankenhaus war dem Mitarbeiter der Lieferfirma nicht bekannt, dass sich zur selben Zeit oberhalb der Raumdecke ein Elektriker bei der Arbeit befand. Der Mitarbeiter testete das Gerät, wobei er den Strahl auf die Decke richtete, was wahrscheinlich zu einer Strahlenexposition des Elektrikers führte. Die Schätzwerte für die Ganzkörperexposition lagen bei einer effektiven Dosis zwischen 80 mSv und 100 mSv. Der Elektriker zeigte keine Symptome; es wurde jedoch vorsichtshalber eine Blutprobe entnommen. Wie bei diesen Dosiswerten zu erwarten war, fiel die Blutuntersuchung negativ aus.

Erläuterung der Einstufung

Beispiel 2. Strahlenexposition eines Werkstoffprüfers – Stufe 2

Ereignisbeschreibung

Beim Entfernen der Strahlerführung eines Radiographiegerätes bemerkte ein Werkstoffprüfer, dass sich die Strahlenquelle nicht in vollständig abgeschirmter Position befand. Die Expositionsvorrichtung enthielt eine umschlossene radioaktive Ir-192-Strahlenquelle mit 807 GBq. Der Prüfer bemerkte, dass bei seinem Stabdosimeter der Anzeigebereich überschritten war und meldete dies dem Strahlenschutzbeauftragten der Firma. Da in der Regel bei radiographischen Prüfungen keine weiteren Dosimeter (wie z. B. Fingerdosimeter) verwendet werden, führte der Strahlenschutzbeauftragte eine Dosisberechnung durch. Auf Grundlage der durchgeführten Dosisberechnung ergab sich für den Arbeiter eine mögliche Teilkörperdosis (Extremitäten) von 3,3 bis 3,6 Gy, was über dem gesetzlichen Jahresdosisgrenzwert von 500 mSv für die Haut oder die Extremitäten liegt. Die Auswertung des Personendosimeters ergab eine Ganzkörperdosis von ca. 2 mSv. Der Prüfer wurde zur Beobachtung in ein Krankenhaus eingewiesen und später wieder entlassen. Es wurden keine deterministischen Schäden festgestellt. Nachfolgend stellte sich heraus, dass die Person das Dosimeter an seiner Hüfte getragen hatte und sein Körper das Dosimeter abgeschirmt haben könnte.

Erläuterung der Einstufung

Beispiel 3. Strahlenexposition eines Prüfers für zerstörungsfreie Prüfungen in der Industrie – Stufe 3

Ereignisbeschreibung

Drei Arbeiter führten auf einer 22,5 m hohen Plattform eines Turmes eine industrielle Durchstrahlungsprüfung mit einer radioaktiven Ir-192-Strahlenquelle mit 3,3 TBq durch. Aus unbestimmtem Grund war die Ir-192-Strahlenquelle (Strahlerhalter) nicht mehr mit dem Fernbedienungsanschluss verbunden (oder bereits vorher nicht richtig angeschlossen gewesen). Nach Beendigung der Arbeit schraubte einer der Arbeiter die Strahlerführung ab und die Strahlenquelle fiel unbemerkt auf den Boden der Plattform (es wurden weder Dosisleistungsmessgeräte noch tragbare Dosimeter verwendet). Die Arbeiter verließen den Arbeitsort. Am darauffolgenden Abend (23.00 Uhr) fand ein Angestellter die Strahlenquelle und versuchte, sie zu identifizieren. Er zeigte die Strahlenquelle einem anderen Angestellten, wobei diesem auffiel, dass Ersterer eine geschwollene Wange hatte. Der erste Angestellte übergab seinem Kollegen die Strahlenquelle und begab sich nach unten, um sein Gesicht zu waschen. Der zweite Angestellte stieg den Turm mit der Strahlenquelle in der Hand hinunter. Als beide Angestellten sich entschieden, die Strahlenquelle ihrem Vorgesetzten in dessen Büro zu übergeben, sprach das Dosimeter eines Arbeiters einer anderen Firma an und signalisierte ein intensives Strahlungsfeld. Die Strahlenquelle wurde identifiziert und die Angestellten darüber aufgeklärt, dass es sich bei dem Metallstück um eine radioaktive Strahlenquelle handele, die sofort sicherzustellen sei. Die Strahlenquelle wurde daraufhin mit einem Rohr umhüllt. Danach wurde der Firmeninhaber kontaktiert und die Strahlenquelle wurde anschließend abgeholt. Zwischen der Entdeckung, dass die Strahlenquelle radioaktiv war, und der Abholung lag etwa eine halbe Stunde. Die drei Arbeiter wurden zur medizinischen Untersuchung geschickt (einschließlich einer zytogenetischen Untersuchung) und wurden in ein Krankenhaus eingewiesen. Einer von ihnen zeigte einige deterministische Schäden (schwere strahleninduzierte Verbrennungen an einer Hand). Fünf Angestellten des industriellen Radiographieunternehmens wurden Blutproben zur Analyse in einem Zytogenetiklabor entnommen, es wurden jedoch keine Auffälligkeiten festgestellt.

Erläuterung der Einstufung

Beispiel 4. Zerstörung einer zurückgelassenen hochradioaktiven Strahlenquelle – Stufe 5

Ereignisbeschreibung

Beim Umzug eines privaten Instituts für Strahlentherapie in neue Praxisräume wurde ein Cs-137-Teletherapiegerät mit 51 TBq in der alten Praxis zurückgelassen und nur ein Co-60-Teletherapiegerät mitgenommen. Das Institut unterließ die in seiner Genehmigung geforderte Unterrichtung der Aufsichtsbehörde über diesen Umstand. Die ehemaligen Praxisräume wurden anschließend teilweise abgerissen, wodurch das Cs-137-Teletherapiegerät vollständig ungesichert war. Die Räume wurden von zwei Personen betreten, die – nicht wissend, worum es sich bei dem Gerät handelte, aber einen gewissen Schrottwert vermutend – die Bestrahlungseinheit (mit Strahlenquelle) aus dem Gerät entfernten. Sie nahmen die Einheit mit nach Hause und versuchten, sie zu zerlegen. Bei diesem Versuch zerbrach die Strahlerkapsel. Die radioaktive Strahlenquelle bestand aus Cäsiumchlorid, das sehr gut löslich und leicht dispergierbar ist. Infolge dessen wurden mehrere Personen kontaminiert und einer Strahlenexposition ausgesetzt.

Nachdem die Strahlerkapsel zerbrochen war, wurden die übrigen Teile der Bestrahlungseinheit an einen Schrotthändler verkauft. Dieser bemerkte, dass das Material im Dunkeln blau schimmerte. Hiervon waren mehrere Personen fasziniert. Über mehrere Tage hinweg kamen Freunde und Verwandte zu Besuch, um dieses Phänomen zu sehen. Reiskorngroße Bruchstücke der Strahlenquelle wurden an mehrere Familien verteilt. Dies geschah über einen Zeitraum von 5 Tagen hinweg, während derer mehrere Personen aufgrund der Strahlenexposition durch die radioaktive Quelle Symptome einer Magen-Darm-Erkrankung entwickelten. Anfänglich wurden diese Symptome nicht als strahleninduziert erkannt. Eine der exponierten Personen führte jedoch die Krankheit auf die Strahlerkapsel zurück und brachte deren Reste zum städtischen Gesundheitsamt.

Dies war der Auslöser für die stufenweise Aufdeckung des Unfalls. Ein ortsansässiger Physiker war der erste, der das Ausmaß des Unfalls erkannte und bewertete. In Eigeninitiative ergriff er Maßnahmen, um zwei Bereiche zu evakuieren. Gleichzeitig wurden die Behörden informiert, woraufhin diese mit einer beeindruckenden Geschwindigkeit und Maßnahmenfülle reagierten. Mehrere weitere erheblich kontaminierte Bereiche wurden schnell identifiziert und die Bewohner evakuiert. Als Folge des Ereignisses entwickelten acht Personen akute Strahlensyndrome und vier Personen starben infolge der Strahlenexposition.

Erläuterung der Einstufung

Beispiel 5. Freisetzung von Jod-131 aus einem Reaktor – Stufe 5

Ereignisbeschreibung

Ein Brand des Graphitmoderators eines luftgekühlten Reaktors zur Plutoniumproduktion führte zu einer bedeutenden Freisetzung radioaktiver Stoffe. Das Feuer brach beim Ausglühen der Graphitstruktur aus. Im Normalbetrieb führt das Auftreffen von Neutronen auf den Graphit zur Verformung der Kristallstruktur des Graphits. Diese Verformung wiederum führt zu einem Aufbau gespeicherter Energie im Graphit. Ein kontrollierter Prozess des Glühens wurde angewendet, um die ursprüngliche Graphitstruktur wieder herzustellen und die gespeicherte Energie freizusetzen. Unglücklicherweise führte die Freisetzung der überschüssigen Energie in diesem Fall zu einer Beschädigung des Kernbrennstoffs. Der metallische Uranbrennstoff und der Graphit reagierten daraufhin mit der Luft und fingen Feuer. Den ersten Hinweis auf einen Störfall gaben Luftmessstationen, die etwa 800 Meter entfernt installiert waren. Die Radioaktivität in der Luft lag um das zehnfache über dem Normalwert. Messungen in größerer Nähe zum Reaktorgebäude bestätigten, dass Radioaktivität freigesetzt wurde. Eine Prüfung des Kerns zeigte, dass die Brennelemente in etwa 150 Kanälen überhitzt waren. Nachdem mehrere verschiedene Löschmethoden ausprobiert wurden, konnte das Feuer schließlich mit einer Kombination aus Sprühfluten und Abschaltung der Ventilatoren der Zwangsluftkühlung gelöscht werden. Die Anlage wurde heruntergekühlt. Die freigesetzte Aktivitätsmenge wurde auf etwa 500 bis 700 TBq Jod-131 und 20 bis 40 TBq Cs-137 geschätzt. Es traten keine deterministischen Schäden auf. Keine Person erhielt eine Dosis, die dem Zehnfachen des gesetzlichen Jahresgrenzwerts für die Ganzkörperdosis von beruflich strahlenexponierten Personen nahegekommen wäre.

Erläuterung der Einstufung

Beispiel 6. Überhitzen eines Lagerbehälters für hochradioaktive Abfälle in einer Wiederaufarbeitungsanlage – Stufe 6

Ereignisbeschreibung

Das Versagen des Kühlsystems eines Lagerbehälters für hochradioaktive Abfälle verursachte einen Temperaturanstieg des Behälterinhalts. Die darauffolgende Explosion von trockenen Nitrat- und Azetat-Salzen hatte eine Energie von 75 t TNT. Der 2,5 Meter dicke Betondeckel wurde 30 Meter weit weggeschleudert. Zur Begrenzung schwerwiegender gesundheitlicher Auswirkungen wurden Notfallmaßnahmen wie unter anderem die Evakuierung des betroffenen Gebietes ergriffen.

Der bedeutendste Bestandteil der Aktivitätsfreisetzung setzte sich aus 1 000 TBq Sr-90 und 13 TBq Cs-137 zusammen. Ein großes Gebiet mit einer Fläche von 300 x 50 km² wurde mit mehr als 4 kBq/m² Sr-90 kontaminiert.

Erläuterung der Einstufung

Beispiel 7. Bedeutende Aktivitätsfreisetzung infolge eines Kritikalitätsstörfalls mit Brand – Stufe 7

Ereignisbeschreibung

Auslegungsschwächen sowie ein schlecht geplanter und durchgeführter Test führten dazu, dass ein Reaktor überkritisch wurde. Versuche, den Reaktor abzuschalten, schlugen fehl. Es kam zu einer Energiespitze, wodurch einige Brennstäbe barsten und deren Bruchstücke in die Steuerstabführungsrohre gelangten. Nachdem die nur zu einem Drittel eingefahrenen Steuerstäbe sich daraufhin verklemmten, konnte die Kettenreaktion nicht gestoppt werden. Die Reaktorleistung stieg auf etwa 30 GW an, was dem Zehnfachen der normalen betrieblichen Leistung entspricht. Das einsetzende Schmelzen der Brennstäbe führte zu einem schnellen Dampfdruckanstieg und somit zu einer großen Dampfexplosion. Der erzeugte Dampf stieg vertikal in den Brennstoffröhren im Reaktor nach oben, wodurch der Reaktordeckel angehoben und zerstört wurde. Die Kühlmittelrohre barsten und rissen ein Loch in das Dach. Nachdem ein Teil des Daches durch die Explosion weggerissen worden war, löste der einströmende Sauerstoff zusammen mit den extrem hohen Temperaturen des Reaktorbrennstoffs und des Graphitmoderators einen Graphitbrand aus. Dieser Brand trug wesentlich zur Ausbreitung radioaktiver Stoffe und zur Kontamination entlegener Gebiete bei.

Die gesamte Freisetzung radioaktiver Stoffe betrug etwa 14 Millionen TBq, darunter 1,8 Millionen TBq I-131, 85 000 TBq Cs-137 und andere Cäsium-Radioisotope, 10 000 TBq Sr-90 sowie eine Anzahl weiterer bedeutender Isotope.

Erläuterung der Einstufung

3.1 Allgemeine Beschreibung

Die Anleitung in diesem Abschnitt gilt nur für Ereignisse in genehmigungspflichtigen Anlagen und Einrichtungen, bei denen eine Standortgrenze eindeutig als Teil ihrer Genehmigung definiert ist. Sie ist nur anwendbar auf Anlagen und Einrichtungen zur Handhabung bedeutender Mengen radioaktiver Stoffe, bei denen das Potenzial (wie unwahrscheinlich es auch immer sei) einer Freisetzung radioaktiver Stoffe besteht, die mit Stufe 5 oder darüber eingestuft werden könnte.

Jedes Ereignis ist hinsichtlich der Kriterien der Auswirkung auf Mensch und Umwelt sowie hinsichtlich der Kriterien der Beeinträchtigung der gestaffelten Sicherheitsvorkehrungen zu betrachten. Hier könnte argumentiert werden, dass diese beiden Kriterien alle Problemstellungen abdecken, die bei der Einstufung eines Ereignisses angesprochen werden müssen. Es gibt jedoch zwei wesentliche Arten von Ereignissen, die nach Anwendung dieser beiden Kriterien nicht ihrer sicherheitstechnischen Bedeutung angemessen eingestuft würden.

Bei der ersten Ereignisart tritt ein bedeutsamer Schaden an den primären Barrieren zur Verhinderung einer großen Aktivitätsfreisetzung auf (z. B. beim Schmelzen des Reaktorkerns oder ein Versagen des Einschlusses sehr großer Mengen radioaktiver Stoffe in einer Wiederaufarbeitungsanlage für Kernbrennstoffe). Bei dieser Ereignisart verbleiben nach dem Versagen von verfahrenstechnischen Einrichtungen als einzige Barrieren zur Verhinderung einer sehr großen Aktivitätsfreisetzung die Systeme des Sicherheitseinschlusses. Ohne spezielle Kriterien für derartige Ereignisse, würden diese unter dem Aspekt der Beeinträchtigung von Sicherheitsvorkehrungen lediglich als Stufe 3 eingestuft werden, wie ein „Beinahe-Unfall mit keiner verbleibenden Redundanz“. Für derartige Ereignisse finden sich in den Stufen 4 und 5 entsprechende Kriterien.

Bei der zweiten Ereignisart bleiben die primären Barrieren zur Verhinderung einer großen Aktivitätsfreisetzung intakt, jedoch werden z. B. innerhalb einer kerntechnischen Anlage größere Mengen radioaktiver Stoffe verschleppt oder die Dosisleistung steigt deutlich an. Aufgrund der Tatsache, dass eine große Anzahl von Barrieren weiterhin intakt ist, könnten solche Ereignisse unter dem Aspekt Beeinträchtigung der Sicherheitsvorkehrungen durchaus nur als Stufe 1 eingestuft werden. Diese Ereignisse stellen jedoch ein schwerwiegendes Versagen der Überwachungsmaßnahmen für die Handhabung radioaktiver Stoffe dar und beinhalten demzufolge selbst das grundlegende Risiko eines Ereignisses mit einer bedeutenden Auswirkung auf Mensch und Umwelt. Die Einstufungskriterien für Stufe 2 und Stufe 3 sind auf diese zweite Art von Ereignissen anzuwenden.

Die Bedeutung einer Kontamination wird entweder anhand der Menge der freigesetzten Aktivität oder der resultierenden Dosisleistung gemessen. Diese Kriterien beziehen sich auf die Dosisleistung in einem Betriebsbereich. Dabei ist es für die Einstufung nach Bewertungsaspekt 2 unerheblich, ob sich tatsächlich eine beruflich strahlenexponierte Person im kontaminierten Bereich aufgehalten hat. Diese Kriterien sollten nicht mit den in Abschnitt 2.4 genannten Kriterien, die sich auf die tatsächliche Strahlenexposition von beruflich strahlenexponierten Personen beziehen, verwechselt werden.

Kontaminationswerte unterhalb des Werts für Stufe 2 werden für den Zweck der Einstufung gemäß diesen Kriterien als unbedeutend betrachtet. Bei niedrigeren Kontaminationswerten ist nur die Beeinträchtigung der Sicherheitsvorkehrungen zu berücksichtigen.

Allgemein gilt, dass die genaue Art des Schadens und/oder der Kontamination möglicherweise für geraume Zeit nach einem Ereignis mit derartigen Folgen nicht bekannt ist. Es sollte jedoch möglich sein, eine grobe Einschätzung abzugeben, um über eine angemessene vorläufige Einstufung zu entscheiden. Möglicherweise wird eine nachfolgende Neubewertung der Situation eine Neueinstufung des Ereignisses erfordern.

Ebenso sind bei allen Ereignissen die anderen Bewertungsaspekte (Auswirkungen auf Mensch und Umwelt [Kapitel 2] und die Beeinträchtigung von Sicherheitsvorkehrungen [Kapitel 4]) zu berücksichtigen, da diese zu einer höheren Einstufung führen können.

3.2 Definition der Stufen der Bewertungsskala

Stufe 5

Für Ereignisse im Zusammenhang mit Kernbrennstoff in Leistungs- und Forschungsreaktoren:

„Ein Ereignis, das das Schmelzen von mehr als dem Äquivalent einiger Prozent des Kernbrennstoffs eines Leistungsreaktors oder die Freisetzung¹⁰ von mehr als einigen Prozent des Kerninventars eines Leistungsreaktors aus den Brennelementen zur Folge hat.¹¹“

Die Definition basiert auf dem gesamten Kerninventar eines Leistungsreaktors und nicht nur auf den freien Spaltproduktgasen (Inventar des Spaltgassammelraums). Dies setzt eine bedeutende Freisetzung sowohl aus der Brennstoffmatrix als auch aus dem Inventar des Spaltgassammelraums voraus. Hierbei ist zu beachten, dass die Einstufung auf der Grundlage eines Brennstoffschadens nicht vom Zustand des Primärkreislaufs abhängig ist.

Bei Forschungsreaktoren sollte bei der Einstufung der Anteil des betroffenen Brennstoffs auf das Brennstoffinventar eines Leistungsreaktors mit einer Leistung von 3 000 MWth bezogen werden.

Für andere Anlagen und Einrichtungen:

„Ein Ereignis, das eine bedeutende Freisetzung¹⁰ von radioaktiven Stoffen in der Anlage (vergleichbar mit der Freisetzung aus einer Kernschmelze) mit einer hohen Wahrscheinlichkeit für eine bedeutende grenzwertüberschreitende Strahlenexposition zur Folge hat.¹²“

Beispiele für Unfälle, die nicht mit einem Reaktor in Zusammenhang stehen, sind ein erheblicher Kritikalitätsstörfall, ein großer Brand, oder eine starke Explosion mit der Freisetzung großer Mengen radioaktiver Stoffe innerhalb der Einrichtung.

Stufe 4

Für Ereignisse im Zusammenhang mit Kernbrennstoff in Leistungs- und Forschungsreaktoren:

„Ein Ereignis, welches die Freisetzung¹⁰ von mehr als etwa 0,1 % des Kerninventars eines Leistungsreaktors aus den Brennelementen als Ergebnis entweder des Schmelzens des Kernbrennstoffs oder des Versagens der Brennstabhüllrohre zur Folge hat.“

Auch diese Definition basiert auf dem gesamten Kerninventar und nicht allein dem Inventar des Spaltgassammelraums und ist nicht vom Zustand des Primärkreislaufs abhängig. Eine Freisetzung von mehr als 0,1 % des gesamten Kerninventars könnte auftreten, wenn entweder bei Versagen der Hüllrohre ein Teil des Brennstoffs schmilzt oder die Schädigung eines bedeutenden Anteils der Hüllrohre (~10 %) vorliegt, die die Freisetzung des Inventars aus dem Spaltgassammelraum nach sich zieht.

Bei Forschungsreaktoren sollte bei der Einstufung der Anteil des betroffenen Brennstoffs auf das Brennstoffinventar eines Leistungsreaktors mit einer Leistung von 3 000 MWth bezogen werden.

Ein Brennstoffschaden oder ein Hüllrohrschaden mit einer Freisetzung von weniger als 0,1 % des Kerninventars eines Leistungsreaktors, z. B. ein lokal sehr begrenztes Schmelzen oder eine geringfügige Schädigung der Hüllrohre, sollte nach diesem Kriterium als „unterhalb der Skala/Stufe 0“ eingestuft und danach hinsichtlich der Kriterien für die Beeinträchtigung von Sicherheitsvorkehrungen betrachtet werden.

Für andere Anlagen und Einrichtungen:

„Ein Ereignis, das eine Freisetzung¹⁰ von mindestens 5 000 Terabecquerel Aktivität aus der primären Einschließung¹³ und eine hohe Wahrscheinlichkeit einer bedeutenden grenzwertüberschreitenden Strahlenexposition der Bevölkerung beinhaltet.“

Stufe 3

„Ein Ereignis, das zu einer Freisetzung¹⁰ von 5 000 Terabecquerel Aktivität in einen bei der Auslegung¹⁵ nicht vorhergesehenen Bereich mit der Notwendigkeit von Gegenmaßnahmen auch bei einer sehr geringen Wahrscheinlichkeit einer bedeutenden Strahlenexposition der Bevölkerung führt.“

oder

„Ein Ereignis, das zu einer Summe aus Gamma- und Neutronendosisleistung von mehr als 1 Sv pro Stunde in einem Betriebsbereich¹⁴ (Dosisleistung 1 Meter von der Quelle entfernt gemessen) führt.“

Ereignisse, die hohe Dosisleistungen in Bereichen, die nicht als Betriebsbereiche gelten, zur Folge haben, sollten anhand des Ansatzes der Beeinträchtigung von Sicherheitsvorkehrungen für Anlagen eingestuft werden (siehe Beispiel 49).

Stufe 2

„Ein Ereignis, das zu einer Summe aus Gamma- und Neutronendosisleistung von mehr als 50 mSv pro Stunde in einem Betriebsbereich¹⁴ (Dosisleistung 1 Meter von der Quelle entfernt gemessen) führt.“

oder

„Ein Ereignis, welches das Auftreten bedeutender Mengen an radioaktiven Stoffen innerhalb der Einrichtung in einem bei der Auslegung nicht vorhergesehenen Bereich¹⁵ mit der Notwendigkeit von Gegenmaßnahmen zur Folge hat.“

In diesem Zusammenhang sollte „bedeutende Menge“ wie folgt interpretiert werden:

(1)

Ein Austritt flüssiger radioaktiver Stoffe, der radiologisch äquivalent zu einem Austritt in der Größenordnung von 10 Terabecquerel Mo-99 ist.

(2)

Ein Austritt fester radioaktiver Stoffe, der radiologisch äquivalent zu einem Austritt in der Größenordnung von einem Terabecquerel Cs-137 ist, falls zusätzlich das Niveau der Kontamination am Boden und in der Luft das Zehnfache der für Betriebsbereiche zugelassenen Werte überschreitet.

(3)

Eine Freisetzung luftgetragener radioaktiver Stoffe, die in einem Gebäude eingeschlossen und radiologisch äquivalent zu einer Freisetzung in der Größenordnung von mindestens 50 Gigabecquerel I-131 ist.

Tabelle 4: Radiologische Äquivalenz für die Kontamination einer Anlage oder Einrichtung

3.3 Berechnung der radiologischen Äquivalenz

Tabelle 4 enthält die Multiplikationsfaktoren für eine Reihe von Isotopen zur Berechnung der radiologischen Äquivalenz für Kontaminationen innerhalb von Anlagen. Die tatsächlich freigesetzte Aktivität soll dabei mit dem angegebenen Faktor für das entsprechende Radioisotop multipliziert werden und mit den Werten der Definition jeder Stufe für das jeweilige Isotop verglichen werden. Werden unterschiedliche Isotope freigesetzt, so muss der Wert für die radiologische Äquivalenz für jedes einzelne Radioisotop berechnet und die Ergebnisse summiert werden. Die Herleitung der Multiplikationsfaktoren zur Berechnung der radiologischen Äquivalenz ist in Anhang I dargestellt.

3.4 Anwendungsbeispiele

Anhand der folgenden Beispiele soll das in diesem Kapitel beschriebene Vorgehen bei der Einstufung von Ereignissen veranschaulicht werden. Die Beispiele beruhen auf tatsächlichen Ereignissen, die ggf. jedoch leicht modifiziert wurden, um die Anwendung der verschiedenen Teile der Anleitung zu verdeutlichen. In der letzten Zeile der Tabelle ist die Einstufung aufgrund der tatsächlichen Auswirkungen angegeben, d. h. unter Berücksichtigung der Kriterien in den Kapiteln 2 und 3. Dies ist nicht zwangsläufig die endgültige Einstufung, da eine Berücksichtigung der Kriterien hinsichtlich der Beeinträchtigung von Sicherheitsvorkehrungen vor einer Festlegung der endgültigen Einstufung notwendig wäre.

Beispiel 8. Ereignis in einem Labor zur Herstellung radioaktiver Quellen – unterhalb der Skala/Stufe 0

Ereignisbeschreibung

In einem Labor zur Herstellung von Cs-137-Quellen traten infolge von Umbauarbeiten in einem Teil des Laborgebäudes Probleme mit dem Unterdruck auf. Dies führte zu einer luftgetragenen Kontamination mit Cs-137 im Labor und in einem mit dem Labor verbundenen Lüftungskanal.

Infolge des Ereignisses erfuhren sowohl Betriebsangehörige als auch Einzelpersonen der Bevölkerung geringe Strahlenexpositionen (< 1 mSv). Messungen zeigten, dass die Menge der innerhalb der Anlage freigesetzten Aktivität ca. 3 bis 4 GBq Cs-137 betrug. Die durch das Lüftungssystem in die Umwelt freigesetzte Aktivität lag bei etwa 1 bis 10 GBq.

Erläuterung der Einstufung

Beispiel 9. Brennstoffschädigung in einem Reaktor – Stufe 0

Ereignisbeschreibung

Während des Reaktorbetriebs wurde eine geringe Erhöhung der Kühlmittelaktivität detektiert, was auf eine geringe Schädigung des Brennstoffs hinwies. Das Ausmaß war jedoch so gering, dass ein Weiterbetrieb als akzeptabel erachtet wurde. Ausgehend von der gemessenen Reaktorkühlmittelaktivität ging der Betreiber mit der Erwartung in die Revision, eine Schädigung von nur einer geringen Anzahl der insgesamt 3 400 Brennstäbe vorzufinden. Die Untersuchung zeigte jedoch, dass etwa 200 (6 % der Gesamtzahl) der Brennstäbe versagt hatten, obwohl es nicht zum Schmelzen des Brennstoffs oder einer bedeutende Freisetzung von Radionukliden aus der Brennstoffmatrix gekommen war. Als Ursache wurden Fremdstoffe im Reaktorkühlmittel festgestellt, die ein lokales Überhitzen des Brennstoffs verursacht hatten.

Erläuterung der Einstufung

Beispiel 10. Austritt von mit Plutonium kontaminierter Flüssigkeit und Kontamination des Laborbodens – Stufe 2

Ereignisbeschreibung

Ein flexibler Schlauch zur Einspeisung von Kühlwasser in einen Glaskondensator in einer Handschuhbox hatte sich gelöst. Die Handschuhbox und der daran befestigte Handschuh liefen mit Wasser voll, bis der Handschuh platzte. Das austretende Wasser enthielt etwa 2,3 GBq Pu-239.

Erläuterung der Einstufung

Beispiel 11. Inkorporation von Plutonium in einer Wiederaufarbeitungsanlage – Stufe 2

Ereignisbeschreibung

Vier Angestellte betraten einen strahlenschutzüberwachten Bereich (Kontrollbereich) um Arbeiten an einem Lüftungssystem durchzuführen. Die Arbeiten beinhalteten den Abbau einer Komponente (Baffle Box) in einem Raum eines Gebäudes, in dem eine Plutoniumverarbeitungsanlage untergebracht war. Die Anlage war seit 1957 außer Betrieb und befand sich im Stillstand zur Vorbereitung für ihre Stilllegung.

Die Personen trugen Schutz- und Überwachungsausrüstungen. Das Zerschneiden der Baffle Box dauerte eine Stunde und 40 Minuten, wobei zu beobachten war, dass Staub von der Box rieselte. Nachdem die Arbeit beendetet war und die Personen den Bereich verließen, detektierten die Personenkontaminationsmonitore Kontaminationen auf der Kleidung aller vier Personen. Als Sofortmaßnahmen wurden u. a. Arbeitseinschränkungen für die Betroffenen erlassen und Dosisabschätzungen anhand von Bioassaymethoden eingeleitet. Erste Abschätzungen der Strahlenexposition ergaben eine effektive Dosis von weniger als 11 mSv. Nachfolgend wurde eine maximale Strahlenexposition der betroffenen Personen zwischen 24 und 55 mSv effektive Dosis berechnet. Der Jahresgrenzwert lag zu dieser Zeit bei 50 mSv.

Erläuterung der Einstufung

Beispiel 12. Evakuierung in der Nähe einer kerntechnischen Anlage – Stufe 4

Ereignisbeschreibung

Ein Unfall in einem Kernkraftwerk, bei dem der Kernbrennstoff überhitzte, führte zum Versagen von etwa der Hälfte der Brennstäbe und einer nachfolgenden Freisetzung radioaktiver Stoffe in die Umgebung. (Das Versagen von etwa der Hälfte der Brennstäbe ohne ein bedeutsames Schmelzen des Kernbrennstoffs würde die Freisetzung von etwa 0,5 % des gesamten Kerninventars zur Folge haben). Die Polizei vor Ort traf in Absprache mit dem Genehmigungsinhaber und der Aufsichtsbehörde die Entscheidung, alle Personen innerhalb eines Radius von 2 km um die Anlage zu evakuieren. Aufgrund dieser Maßnahme erfuhr niemand eine Strahlenexposition von mehr als 1 mSv. Nach Einschätzung von Anlagenexperten betrug die gesamte Aktivitätsfreisetzung etwa 20 TBq, die sich aus etwa 10 % I-131, 5 % Cs-137 und 85 % Edelgasen zusammensetzte.

Erläuterung der Einstufung

Beispiel 13 Reaktorkernschmelzen – Stufe 5

Ereignisbeschreibung

Ein Ventil im Kondensatsystem versagte in geschlossener Stellung, wodurch weniger Speisewasser in den Dampferzeuger eingespeist wurde. Der Stopp der Hauptspeisewasserpumpen und der Turbinenschnellschluss wurden innerhalb von Sekunden ausgelöst.

Die Notspeisepumpen, die wie erwartet anliefen, waren nicht in der Lage, Wasser in die Dampferzeuger einzuspeisen, da mehrere Ventile im System geschlossen waren. Die Reaktorkühlmittelpumpen förderten primärseitig weiter durch die Dampferzeuger. Es konnte jedoch keine Wärme von der Sekundärseite abgeführt werden, da sich in den Dampferzeugern sekundärseitig kein Wasser mehr befand.

Im Reaktorkühlsystem stieg der Druck bis über den Grenzwert zur automatischen Reaktorschnellabschaltung an. Ein elektrisch angesteuertes Entlastungsventil am Druckhalter öffnete automatisch, und Primärkühlmittel gelangte in den Druckhalter-Abblasebehälter. Jedoch blieb dieses Ventil fehlerhaft in Offenstellung als der Reaktordruck sank, ohne dass dies der Reaktorfahrer bemerkte. Dadurch konnte weiter Dampf in den Druckhalter-Abblasebehälter strömen. Der Druck im Reaktorkühlsystem fiel weiter ab. Die Berstscheibe des Druckhalter-Abblasebehälters öffnete sich und Dampf gelangte in den Sicherheitsbehälter. Mit sinkendem Druck des Kühlmittels verdampfte schließlich das Wasser im oberen Bereich des Reaktors (etwa 3 bis 4,5 m oberhalb des Kernbrennstoffs).

Die Betriebsmannschaft schaltete die Notspeisepumpen ab, da sie davon ausging, dass noch Wasser im Druckhalter vorhanden war. Auch die Hauptkühlmittelpumpen schalteten die Operateure ab, da sie Schäden durch mögliche übermäßige Vibrationen befürchteten. Dies führte zur Dampfbildung im Primärkreislauf. Zusätzlich bildete sich eine Dampfblase im oberen Teil des Reaktordruckbehälters oberhalb des Kernbrennstoffs. Schließlich weitete sich diese Dampfblase mit zunehmender Aufheizung des Brennstoffs aus, das Brennstabhüllrohrmaterial überhitzte und mehr als 10 % des Brennstoffs schmolz. Der Sicherheitseinschluss blieb intakt.

Schließlich wurde Wasser in den Primärkreislauf eingespeist und die Kühlung des Reaktors gewährleistet.

Untersuchungen zeigten, dass die Freisetzung am Standort gering war und die maximale potenzielle Strahlenexposition außerhalb der Anlage bei einer effektiven Dosis von 0,8 mSv lag. Die Strahlenexposition der beruflich strahlenexponierte Personen lag weit unterhalb der gesetzlichen Jahresgrenzwerte.

Erläuterung der Einstufung

Dieses Kapitel behandelt jene Ereignisse ohne tatsächliche Folgen, bei denen jedoch einige Sicherheitsvorkehrungen versagt haben. Die gezielte Bereitstellung mehrfacher Vorkehrungen oder Barrieren wird als „in die Tiefe gestaffeltes Sicherheitskonzept“ (englisch: defence-in-depth) bezeichnet. Genauere Hintergrundinformationen über das gestaffelte Sicherheitskonzept insbesondere von großen Anlagen oder Einrichtungen sind in Annex I aufgeführt. Es werden nur Sicherheitsvorkehrungen berücksichtigt, die im gestaffelten Sicherheitskonzept vorgesehen sind. Diese werden im Folgenden vereinfachend „gestaffelte Sicherheitsvorkehrungen“ genannt.

Der Leitfaden zur Einstufung von Ereignissen in diesem Kapitel bezieht sich auf Tätigkeiten im Zusammenhang mit radioaktiven Strahlenquellen und der Beförderung radioaktiver Stoffe. Die Anleitung für Beschleuniger und für Einrichtungen zur Herstellung und zum Vertrieb von Radionukliden oder zur Verwendung einer Strahlenquelle der Kategorie 1 findet sich in Kapitel 6.

Die Sicherheit der Bevölkerung und des Personals bei der Beförderung und der Verwendung radioaktiver Strahlenquellen wird durch eine geeignete Auslegung der Verpackung oder Umschließung, geregelte Abläufe, administrative Kontrollen und eine Reihe von Schutzsystemen (z. B. Verriegelungen, Alarme und physische Barrieren) gewährleistet. Das Konzept gestaffelter Sicherheitsvorkehrungen wird auf diese Sicherheitsmaßnahmen angewandt, um einem möglichen Versagen von technischen Einrichtungen, menschlichen Fehlhandlungen und dem Auftreten ungeplanter Entwicklungen Rechnung tragen zu können.

Das in die Tiefe gestaffelte Sicherheitskonzept beruht demzufolge auf der Kombination einer konservativen Auslegung, der Qualitätssicherung, der Überwachung, schadensbegrenzenden Maßnahmen sowie einer generellen Sicherheitskultur, die jeden dieser Aspekte stärkt.

Die Einstufungsmethodik von INES berücksichtigt die Anzahl der Sicherheitsvorkehrungen, die bei einem Ereignis weiter funktionsfähig waren, sowie die potenziellen Folgen beim Versagen aller Sicherheitsvorkehrungen.

Daneben berücksichtigt die Methodik von INES auch sogenannte „zusätzliche Faktoren“ wie beispielsweise jene Aspekte des Ereignisses, die möglicherweise auf grundlegende Schwachstellen in der Betriebsführung oder der Vorkehrungen zur Kontrolle der Verfahrensabläufe hinweisen.

Dieses Kapitel ist in drei Hauptabschnitte unterteilt. Der Abschnitt 4.1 beinhaltet die allgemeinen Grundsätze, die bei der Einstufung von Ereignissen aufgrund der Beeinträchtigung von Sicherheitsvorkehrungen anzuwenden sind. Da diese Grundsätze ein breites Spektrum an Ereignisarten abdecken müssen, sind sie in ihrer Art allgemein gehalten. Um zu gewährleisten, dass sie einheitlich angewendet werden, enthält Abschnitt 4.2 detailliertere Erläuterungen. Abschnitt 4.3 beinhaltet zahlreiche Anwendungsbeispiele.

4.1 Allgemeine Grundsätze für die Einstufung von Ereignissen

Wenngleich die Skala drei Stufen für die Bewertung eines Ereignisses aufgrund der Beeinträchtigung von Sicherheitsvorkehrungen vorsieht, so sind durch das Inventar an radioaktiven Stoffen und die Freisetzungsmechanismen die maximalen potenziellen Auswirkungen für einige Tätigkeiten selbst bei Versagen aller Sicherheitsvorkehrungen begrenzt. Es ist demnach nicht angemessen, Ereignisse im Zusammenhang mit Strahlenquellen oder bei der Beförderung in die höchste Stufe nach dem Kriterium Beeinträchtigung der Sicherheitsvorkehrungen einzustufen. Können die größtmöglichen Auswirkungen für eine bestimmte Tätigkeit die Stufe 4 auf der Skala nicht überschreiten, so ist eine Einstufung aufgrund der Beeinträchtigung von Sicherheitsvorkehrungen maximal mit Stufe 2 angebracht. Auf ähnliche Weise ist nach diesem Kriterium eine Einstufung auf maximal Stufe 1 angebracht, wenn die größtmöglichen Auswirkungen auf der Bewertungsskala maximal die Stufe 2 erreichen können.

Nach Festlegung der Obergrenze für die Einstufung gemäß der Beeinträchtigung der Sicherheitsvorkehrungen ist es notwendig, die noch vorhandenen Sicherheitsvorkehrungen zu betrachten, d. h. welche zusätzlichen Ausfälle sich noch ereignen müssten, um zu den größtmöglichen Auswirkungen für diese Tätigkeit zu gelangen. Dies umfasst die Berücksichtigung von Maßnahmen und Einrichtungen für die Vermeidung, Überwachung und Schadensbegrenzung und beinhaltet passive sowie aktive Barrieren. Ebenso wird berücksichtigt, ob bei dem Ereignis offensichtlich Mängel in der Sicherheitskultur bestehen, die zur Erhöhung der Wahrscheinlichkeit des Auftretens der größtmöglichen Auswirkungen führen könnten.

Daher sollten die folgenden Schritte zur Einstufung eines Ereignisses durchgeführt werden:

(1)

Die Obergrenze für die Einstufung gemäß der Beeinträchtigung von Sicherheitsvorkehrungen sollte, basierend auf den Kriterien aus Kapitel 2 und 3 dieses Handbuchs, anhand der maximalen potenziellen Auswirkungen der jeweiligen Tätigkeit festgelegt werden. Eine ausführliche Anleitung zur Festlegung der größtmöglichen Auswirkungen findet sich in Abschnitt 4.2.1.

(2)

Daraufhin sollte die Einstufung vorgenommen werden, und zwar

(a)

erstens unter Berücksichtigung der Anzahl und Wirksamkeit der verfügbaren Sicherheitsvorkehrungen (Maßnahmen und Einrichtungen) zur Verhinderung, Überwachung und Schadensminderung, einschließlich passiver und aktiver Barrieren;

(b)

zweitens unter Berücksichtigung jener die Sicherheitskultur betreffenden Aspekte des Ereignisses, die auf grundlegende Mängel in den Sicherheitsvorkehrungen oder in den organisatorischen Vorkehrungen hindeuten.

Eine ausführliche Erläuterung dieser beiden Aspekte des Einstufungsprozesses findet sich in Abschnitt 4.2.

Neben der Betrachtung des Ereignisses nach dem Aspekt Beeinträchtigung von Sicherheitsvorkehrungen ist jedes Ereignis gegebenenfalls auch entsprechend der Kriterien in den Kapiteln 2 und 3 zu bewerten.

4.2 Detaillierte Anleitung für die Einstufung von Ereignissen

4.2.1 Ermittlung der größtmöglichen Auswirkungen

Die größtmöglichen Auswirkungen werden anhand der Quellkategorie auf der Grundlage der Aktivität der Quelle (A) und dem zugehörigen D-Wert für die Quelle abgeleitet. Die größtmöglichen Auswirkungen hängen demnach nicht von den genauen Umständen des Ereignisses ab. Die D-Werte sind dem IAEA Safety Guide zur Kategorisierung radioaktiver Quellen [1] sowie der ergänzenden Literatur [5] entnommen und werden dort näher erläutert. Der D-Wert gibt einen Aktivitätswert an, oberhalb dessen eine Strahlenquelle als „eine gefährliche Quelle“ angesehen wird und ein erhebliches Potenzial in sich birgt, schwerwiegende deterministische Schäden zu verursachen, wenn sie nicht sicher gehandhabt wird. In Anhang III sind die D-Werte für die gebräuchlichsten Isotope gemäß dem Safety Guide [1] wiedergegeben. Werden D-Werte für andere Isotope benötigt, so sind diese in der ergänzenden Literatur zu finden [5].

Tabelle 5 zeigt die Beziehung zwischen A/D-Verhältnis, Quellkategorie und der Einstufung der größtmöglichen Auswirkungen (im Falle des Versagens aller Sicherheitsvorkehrungen). Ebenso wird die maximale Einstufung nach dem Kriterium Beeinträchtigung der Sicherheitsvorkehrungen für jede Quellkategorie in Übereinstimmung mit den weiter oben beschriebenen allgemeinen Grundsätzen für die Einstufung von Ereignissen angegeben. Bei Anwendung der in Abschnitt 4.2.2. gegebenen Anleitung wird die Einstufung des Ereignisses maximal so hoch ausfallen wie in der unteren Zeile dieser Tabelle angegeben.

Tabelle 5: Beziehung zwischen A/D-Verhältnis, Quellkategorie, größtmögliche Auswirkungen und Einstufung gemäß gestaffeltem Sicherheitskonzept.

Da die maximale Einstufung gemäß dem Bewertungsaspekt Beeinträchtigung der Sicherheitsvorkehrungen sowohl für Strahlenquellen der Kategorie 2 als auch der Kategorie 3 gleich ist, werden diese nachfolgend zusammen betrachtet.

D-Werte sind ausdrücklich nicht auf bestrahlten Kernbrennstoff anzuwenden. Ereignisse im Zusammenhang mit der Beförderung von bestrahltem Kernbrennstoff sollten jedoch anhand der Anleitung für Quellen der Kategorie 1 in Abschnitt 4.2.2 bewertet werden.

Wie bereits zuvor erwähnt, wird bei der Einstufung von Ereignissen in Beschleunigern die Anleitung in Kapitel 6 angewendet. Für andere Vorrichtungen gilt die Anleitung in diesem Abschnitt. Die Kategorisierung dieser Quellen und Geräte kann jedoch nicht einfach auf der Grundlage ihrer Größe etc. erfolgen. Daher ist es notwendig, die allgemeinen Grundsätze von INES anzuwenden. Für Geräte, bei denen selbst beim Versagen aller Sicherheitsvorkehrungen kein Ereignis zu deterministischen Schäden führen kann, sollte die Einstufung der Ereignisse anhand der Anleitung für Quellen der Kategorie 4 in Abschnitt 4.2.2 erfolgen. Für Geräte, bei denen beim Versagen aller Sicherheitsvorkehrungen deterministische Schäden auftreten könnten, sollte die Einstufung solcher Ereignisse anhand der Anleitung für Quellen der Kategorien 2 und 3 in Abschnitt 4.2.2 durchgeführt werden.

Quellen der Kategorie 5 sind weder in Tabelle 5 enthalten, noch werden sie in den Einstufungstabellen in Abschnitt 4.2.2 berücksichtigt. Im IAEA Safety Guide zur Kategorisierung radioaktiver Strahlenquellen [1] wird hierzu erläutert, dass Quellen der Kategorie 5 bei einem Menschen keine bleibenden Schäden verursachen können. Daher sind Ereignisse, bei denen die Sicherheitsvorkehrungen solcher Quellen versagen, lediglich als „unterhalb der Skala/Stufe 0“ oder mit Stufe 1 nach dem Bewertungsaspekt Beeinträchtigung der Sicherheitsvorkehrungen einzustufen. Eine kurze Anleitung, ob eine Einstufung mit „unterhalb der Skala/Stufe 0“ oder Stufe 1 angemessen ist, wird in der Einleitung zu Abschnitt 4.2.2 gegeben.

Bei einem Ereignis im Zusammenhang mit mehreren Strahlenquellen oder Versandstücken ist zu erwägen, ob das Inventar eines einzelnen Versandstücks oder einer einzelnen Strahlenquelle, oder das Gesamtinventar sämtlicher Gebinde/Quellen zugrunde gelegt werden soll. Könnten durch die Beeinträchtigung der Sicherheitsvorkehrungen sämt­liche Gebinde/Quellen betroffen sein (z. B. durch Feuer), so sollte auch das Gesamtinventar betrachtet werden. Ist durch die Beeinträchtigung der Sicherheitsvorkehrungen nur eine einzelne Strahlenquelle etc. betroffen, z. B. durch eine unsachgemäße Kennzeichnung eines einzelnen Versandstücks, so sollte allein das Inventar des betroffenen Gebindes betrachtet werden. Anhang III enthält die Methodik zur Berechnung eines D-Summenwertes.

Um der großen Bandbreite von möglichen Ereignissen gerecht zu werden, die von dieser Anleitung abgedeckt werden, sollten die unten stehenden Schritte zur Berücksichtigung der größtmöglichen Auswirkungen bei der Bewertung eines Ereignisses eingehalten werden:

–

Ist die Aktivität bekannt, so sollte das A/D-Verhältnis durch Division der Aktivität (A) des Radionuklids durch den definierten D-Wert erfolgen. Das resultierende A/D-Verhältnis sollte mit den A/D-Verhältnissen in Tabelle 5 verglichen und einer Kategorie zugeordnet werden.

–

Ist die tatsächliche Aktivität nicht bekannt (z. B. im Falle einer in Schrott aufgefundenen nicht identifizierten Strahlenquelle), so sollte die Aktivität anhand der bekannten oder gemessenen Dosisleistung und durch Identifikation des Radionuklids abgeschätzt werden. Die Kategorie sollte dann aufgrund des A/D-Verhältnisses zugeordnet werden.

–

Ist die tatsächliche Aktivität nicht bekannt und stehen keine Messwerte der Dosisleistung zur Verfügung, so sollte eine Quellkategorie auf der Grundlage aller verfügbaren Informationen über die Verwendung der Strahlenquelle abgeleitet werden. In Anhang IV sind Beispiele für verschiedene Verwendungszwecke von Strahlenquellen sowie ihre möglichen Kategorien angegeben.

–

Bei Ereignissen im Zusammenhang mit Versandstücken mit spaltbarem Material (das nicht gemäß den Transportregelungen [6] als „spaltbar-freigestellt“ gilt) ist Folgendes zu beachten:

–

Falls die zur Gewährleistung der Unterkritikalität notwendigen Sicherheitsvorkehrungen betroffen sind, sollte das Ereignis so bewertet werden, als würde es sich bei dem Versandstück um eine Strahlenquelle der Kategorie 1 handeln.

–

Falls das Versagen einer Sicherheitsvorkehrung sich nicht auf die Kritikalitätssicherheit von unbestrahltem Kernbrennstoff auswirkt, sollte das Ereignis basierend auf der tatsächlich involvierten Aktivitätsmenge unter Verwendung des Verhältnisses A/D bewertet werden. Im Fall von bestrahltem Kernbrennstoff sollte generell die Spalte für Quellen der Kategorie 1 angewendet werden, wobei jedoch das tatsächliche A/D-Verhältnis berechnet und angewendet werden sollte, wenn die Mengen an bestrahltem Material extrem gering sind.

4.2.2 Einstufung auf der Grundlage der Wirksamkeit von Sicherheitsvorkehrungen

Die folgenden Abschnitte geben eine Anleitung für die Einstufung verschiedener Ereignisarten im Zusammenhang mit der Beeinträchtigung von Sicherheitsvorkehrungen. Abschnitt 4.2.2.2 deckt Ereignisse ab, in denen radioaktive Quellen, Geräte oder Versandstücke verloren oder gefunden worden sind. In Abschnitt 4.2.2.3 werden Ereignisse behandelt, bei denen es zu einer Beeinträchtigung der vorgesehenen Sicherheitsvorkehrungen gekommen ist. Abschnitt 4.2.2.4 befasst sich mit anderen sicherheitstechnisch wichtigen Ereignissen.

In allen Fällen, bei denen bei der Einstufung eine Auswahlmöglichkeit besteht, ist die Sicherheitskultur ein zu betrachtender Aspekt. Hierfür bietet Abschnitt 4.2.2.1 weitergehende Anleitungen. In einigen dieser Fälle mit Auswahlmöglichkeit sind auch andere Faktoren zu berücksichtigen, die jeweils in den Fußnoten erläutert sind.

Ereignisse im Zusammenhang mit Strahlenquellen der Kategorie 5 werden von diesen Abschnitten nicht abgedeckt, da sie normalerweise als „unterhalb der Skala/Stufe 0“ eingestuft werden. Eine Einstufung mit Stufe 1 wäre jedoch angebracht, wenn alle vorgesehenen Sicherheitsvorkehrungen eindeutig versagt haben oder die Ursache des Ereignisses nachweislich in einer mangelhaften Sicherheitskultur gelegen hat. Waren generell keine speziellen Überwachungsmaßnahmen für den Standort einer Strahlenquelle der Kategorie 5 vorgesehen, sollte deren Verlust nur als „unterhalb der Skala/Stufe 0“ eingestuft werden.

4.2.2.1 Berücksichtigung der Sicherheitskultur

Sicherheitskultur ist definiert als „die Eigenschaften und Einstellung in Organisationen und von Einzelpersonen, die festlegen, dass Fragen des Schutzes und der Sicherheit oberste Priorität genießen und die entsprechend ihrer Bedeutung gebührende Aufmerksamkeit erhalten“ [7]. Eine hohe Sicherheitskultur hilft dabei, Störungen zu vermeiden. Andererseits kann eine mangelhafte Sicherheitskultur dazu führen, dass sich die Angestellten nicht den Sicherheitsanforderungen oder Handlungsanweisungen entsprechend verhalten. Die Sicherheitskultur ist daher als ein Teil des in die Tiefe gestaffelten Sicherheitskonzepts zu sehen.

Um eine höhere Einstufung aufgrund eines Mangels in der Sicherheitskultur zu rechtfertigen, muss das Ereignis konkrete Hinweise auf eine mangelhafte Sicherheitskultur liefern. Solche Hinweise könnten beispielsweise sein:

–

eine Verletzung genehmigter Grenzwerte oder die Nichtbeachtung von Anforderungen oder die Verletzung einer Vorschrift ohne vorherige Genehmigung;

–

Mängel im Qualitätssicherungsprozess;

–

eine Häufung menschlichen Fehlverhaltens;

–

ein Ausfall der Maßnahmen zur Gewährleistung einer ausreichenden Überwachung von radioaktiven Stoffen, einschließlich etwaiger Freisetzungen in die Umgebung, einer Kontamination oder eines Versagens des Systems zur Dosisüberwachung; oder

–

das wiederholte Auftreten eines Ereignisses, wenn aufzeigt wird, dass der Betreiber nachweislich nicht die genügende Sorgfalt walten ließ, um die nach dem ersten Ereignis gezogenen Rückschlüsse zu beachten oder Abhilfemaßnahmen zu treffen.

In diesem Zusammenhang muss darauf hingewiesen werden, dass das Ziel dieser Anleitung nicht darin besteht, eine ausführliche Untersuchung des Ereignisses zu veranlassen, sondern die für die Einstufung zuständigen Personen in die Lage zu versetzen, zeitnah eine Bewertung des Ereignisses vornehmen zu können. Unmittelbar nach einem Ereignis kann die Entscheidung schwierig sein, ob aufgrund von Mängeln in der Sicherheitskultur eine Höherstufung erfolgen sollte. In diesem Fall sollte zunächst eine vorläufige Einstufung auf Basis des vorliegenden Kenntnisstandes vorgenommen werden. Bei der abschließenden Bewertung können auch detailliertere Informationen aus weiteren Untersuchungen im Hinblick auf die Sicherheitskultur Berücksichtigung finden.

4.2.2.2 Ereignisse im Zusammenhang mit verloren gegangenen oder gefundenen radioaktiven Strahlenquellen/Geräten/Versandstücken

Tabelle 6 sollte für jene Ereignisse im Zusammenhang mit radioaktiven Strahlenquellen, Geräten oder Versandstücken verwendet werden, die verlegt, verloren gegangen, gestohlen oder gefunden worden sind. Kann eine Strahlenquelle, ein Gerät oder ein Versandstück nicht lokalisiert werden, so kann sie/es zunächst als „vermisst“ angesehen werden. Ist jedoch eine gezielte Suche an wahrscheinlichen alternativen Aufenthaltsorten nicht erfolgreich, sollten sie/es gemäß den nationalen Vorschriften als verloren angesehen werden.

Der Verlust einer radioaktiven Strahlenquelle, eines Geräts oder eines Versandstückes sollte im Hinblick auf eine Beeinträchtigung der gestaffelten Sicherheitsvorkehrungen eingestuft werden. Wird die radioaktive Quelle, das Gerät oder das Versandstück wieder aufgefunden, so sollten der vorangegangene Verlust und das nachfolgende Wiederauffinden der Quelle gemeinsam als ein einziges Ereignis betrachtet werden. Die ursprüngliche Einstufung sollte dann überprüft und das Ereignis auf der Basis etwaiger zusätzlicher Informationen neu eingestuft werden. Wichtige Informationen, die in diesem Zusammenhang zu berücksichtigen sind, umfassen:

–

den Ort, an dem die radioaktive Strahlenquelle, das Gerät oder das Versandstück gefunden wurde und wie sie/es dorthin gelangt ist;

–

den Zustand der radioaktiven Strahlenquelle, des Geräts oder des Versandstücks;

–

den Zeitraum, während dessen die radioaktive Strahlenquelle, das Gerät oder das Versandstück nicht auffindbar war;

–

die Anzahl der exponierten Personen und die möglichen Individualdosen.

Die geänderte Einstufung sollte sowohl das System von gestaffelten Sicherheitsvorkehrungen als auch die tatsächlichen Auswirkungen berücksichtigen. In den meisten Fällen ist es notwendig, die Strahlenexposition abzuschätzen oder zu berechnen. Dies sollte eher anhand realistischer Annahmen und nicht auf Basis eines Extremfallszenarios erfolgen.

Die Einstufung nach einem Auffinden einer radioaktiven Strahlenquelle oder eines Gerätes wird in Tabelle 6 behandelt. Ersteres beschreibt dabei den Fund einer nicht abgeschirmten Strahlenquelle. Mit dem Auffinden eines Gerätes hingegen soll die Entdeckung einer herrenlosen Strahlenquelle beschrieben werden, die sich noch in einem intakten, abgeschirmten Behälter befindet.

Es gibt viele Beispiele von verlorenen oder gefundenen herrenlose Strahlenquellen, die der kommerziellen Metallwiederverwertung zugeführt worden sind. In Folge dessen ist es bei Metallhändlern und in Stahlhütten immer mehr üblich, eingehende Lieferungen von Metallschrott auf solche Quellen hin zu untersuchen. Die geeignete Einstufung für solche Ereignisse lässt sich anhand der Zeile „gefundene herrenlose Quelle“ der Tabelle 6 vornehmen. Ist die Strahlenquelle eingeschmolzen worden, sollte die höhere Einstufungsmöglichkeit gewählt werden. Wurde die Quelle vor dem Einschmelzen gefunden, dann sollte die Einstufung davon abhängen, ob noch Sicherheitsvorkehrungen vorhanden sind (wie in Anmerkung 1 zu Tabelle 6 erläutert).

Bei Ereignissen im Zusammenhang mit kontaminiertem Metall mag es nicht zweckmäßig sein, die Kategorie der Quelle auf der Grundlage der Anleitung in Abschnitt 4.2.1 zu bestimmen. In diesen Fällen sollte die Dosisleistung gemessen und die Strahlenexposition der Personen in dem betroffenen Bereich abgeschätzt werden. Die Einstufung sollte daraufhin auf der Grundlage dieser potenziellen Strahlenexposition vorgenommen werden.

Tabelle 6: Ereigniseinstufung für verlorene oder gefundene radioaktive Strahlenquellen, Geräte oder Versandstücke

Anmerkungen zu Tabelle 6:

Anmerkung 1:

Die niedrigste vorgeschlagene Einstufung ist eher dort angebracht, wo einige Sicherheitsvorkehrungen eindeutig wirksam geblieben sind (z. B. eine Kombination aus Abschirmung, Verschlussvorrichtungen und Warnschildern).

Anmerkung 2:

Die niedrigere Einstufung ist eher angebracht, wenn die Einrichtung über einige angemessene Strahlenschutzvorkehrungen verfügt.

4.2.2.3 Ereignisse im Zusammenhang mit Mängeln in den Sicherheitsvorkehrungen

Tabelle 7 sollte auf jene Ereignisse angewendet werden, bei denen die radioaktive Strahlenquelle, das Gerät oder das Versandstück sich am bestimmungsgemäßen Ort befindet, wobei aber Mängel in den Sicherheitsvorkehrungen aufgetreten sind. Diese umfassen eine Reihe von Vorkehrungen hinsichtlich der technischen Vorrichtungen, wie z. B. die Transportverpackung oder das Gehäuse der Quelle, andere Abschirmungs- oder Umschließungssysteme, Verriegelungen oder andere Sicherheits- oder Warnvorrichtungen. Sie beinhalten ebenso administrative Kontrollen, wie z. B. die Kennzeichnung von Versandstücken, die Transportdokumentation, Arbeits- und Notfallvorschriften, radiologische Überwachungsmaßnahmen und den Einsatz von Personendosimetern. Einrichtungen wie z. B. Bestrahlungsvorrichtungen mit einer Quelle der Kategorie 1, Teletherapieeinheiten oder Linearbeschleuniger werden wahrscheinlich gestaffelte Sicherheitsvorkehrungen mit einer hohen Integrität aufweisen. Wie in der Einleitung zu diesem Kapitel erwähnt, sollten Ereignisse im Zusammenhang mit Mängeln in den Sicherheitsvorkehrungen bei solchen Einrichtungen anhand der Anleitung in Kapitel 6 eingestuft werden.

Tabelle 7: Einstufung von Ereignissen im Zusammenhang mit Mängeln in den Sicherheitsvorkehrungen¹⁶

Anmerkungen zur Tabelle 7:

Anmerkung 1:

Die geringere Einstufung mag angemessen sein, wenn eine Reihe von Sicherheitsvorkehrungen verbleibt und es keine bedeutsamen Mängel in der Sicherheitskultur gibt. Wenn praktisch nur eine einzige Sicherheitsvorkehrung verbleibt, sollte die höhere Einstufung verwendet werden.

Anmerkung 2:

Die Einstufung von Ereignissen mit einem Teilversagen von Sicherheitsvorkehrungen bei fest in einer Anlage installierten Strahlenquellen der Kategorie 1 sollte auf der Grundlage der in Kapitel 6 beschrieben Vorgehensweise vorgenommen werden. Andere Ereignisse mit Strahlenquellen der Kategorie 1 sollten mit Stufe 1 oder 2 bewertet werden. Dabei ist die untere Stufe angemessen, wenn einige Sicherheitsvorkehrungen noch vorhanden sind und keine bedeutsamen Mängel in der Sicherheitskultur vorliegen.

Anmerkung 3:

Die obere Einstufung ist angemessen, es sei denn die Mängel sind sehr gering.

Anmerkung 4:

Die größtmöglichen Auswirkungen für eine Strahlenquelle der Kategorie 3, die ortsfest in einer Einrichtung installiert ist, können nicht höher als mit Stufe 2 bewertet werden. Daher sollte für Ereignisse in solchen Einrichtungen das Maximum der Einstufung gemäß dem Kriterium Beeinträchtigung von Sicherheitsvorkehrungen bei Stufe 1 liegen.

Anmerkung 5:

Stufe 3 ist nur dann angemessen, wenn die größtmöglichen Auswirkungen die Kriterien für die Stufe 4 überschreiten können. Einrichtungen, die Strahlenquellen der Kategorie 1 verwenden, sollten anhand der Anleitung in Kapitel 6 eingestuft werden. Danach würde nur bei einer potenziellen Ausbreitung von radioaktiven Stoffen eine Einstufung mit Stufe 3 resultieren. Treten bei dem Ereignis die Mängel jedoch nur in den Sicherheitsvorkehrungen auf, die eine übermäßige Strahlenexposition von beruflich strahlenexponiertem Personal verhindern sollen, so würde demnach eine Einstufung auf Stufe 2 erfolgen.

4.2.2.4 Sonstige sicherheitsrelevante Ereignisse

Tabelle 8 sollte für sonstige sicherheitsrelevante Ereignisse, die nicht durch die vorherigen Tabellen abgedeckt sind, angewendet werden.

Tabelle 8: Einstufung sonstiger sicherheitsrelevanter Ereignisse¹⁷

Anmerkungen zur Tabelle 8:

Anmerkung 1:

Die Bewertung sollte den Grad der Unzulänglichkeit der Überwachung sowie jedwede Hinweise auf Mängel in der Sicherheitskultur berücksichtigen.

Anmerkung 2:

Die Wahl der Einstufung sollte die Sicherheitsmaßnahmen berücksichtigen, die trotz des vermutlich leeren Versandstücks möglicherweise noch vorhanden sind.

Anmerkung 3:

In jeder der Kategorien spiegelt die höhere Einstufung Situationen wider, in denen eine falsche oder unangemessene Verpackung zu einer unbeabsichtigten Strahlenexposition führen könnte.

4.3 Anwendungsbeispiele

Beispiel 14. Abtrennung und Bergung einer industriellen radiographischen Strahlenquelle – unterhalb der Skala/Stufe 0

Ereignisbeschreibung

In einer petrochemischen Anlage wurden mittels einer Ir-192-Strahlenquelle mit 1 TBq radiographische Inspektionen durchgeführt. Während einer Bestrahlung wurde die Quelle in ausgefahrener Position abgetrennt. Dies wurde bemerkt, als der Prüfer den Bereich mit einem Dosisleistungsmessgerät betrat. Die Zugangsbarrieren zum Kontrollbereich wurden überprüft und im vorgefundenen Zustand belassen; es wurde Hilfe von den nationalen Behörden angefordert. Die Behörden und das radiographische Prüfpersonal planten gemeinsam das Vorgehen zur Bergung der Strahlen­quelle. 12 Stunden nach der Entdeckung des Ereignisses wurde die Strahlenquelle erfolgreich geborgen. Die Strahlenexposition (von 3 Personen) infolge des Ereignisses – inklusive Bergung der Strahlenquelle – führte für alle zu einer Dosis unterhalb von 1 mSv.

Erläuterung der Einstufung

Beispiel 15. Entgleisung eines mit abgebranntem Kernbrennstoff beladenen Zuges – unterhalb der Skala/Stufe 0

Ereignisbeschreibung

Ein Zug mit drei Waggons, die jeweils mit einem Versandstück mit abgebranntem Kernbrennstoff beladen waren, entgleiste bei einer Geschwindigkeit von 28 km/h. Eine Schiene brach, als der Zug darüber fuhr. Zwei der Waggons entgleisten, blieben jedoch aufrecht stehen. Der dritte Waggon geriet in Schieflage und musste stabilisiert werden. Nach sechsunddreißig Stunden befanden sich die Waggons wieder auf dem Gleis. Es gab keine radiologischen Auswirkungen.

Erläuterung der Einstufung

Beispiel 16. Gebinde durch einen Gabelstapler beschädigt – unterhalb der Skala/Stufe 0

Ereignisbeschreibung

Ein Typ A-Versandstück wurde auf einem Flughafen als beschädigt gemeldet. Nach ersten Meldungen schien das Versandstück lediglich von einem Reifen des Gabelstaplers gestreift worden zu sein. Der Absender wurde aufgefordert, den Schaden am Versandstück abzuschätzen und das weitere Vorgehen festzulegen. Der Absender war in der Lage den Inhalt (zwei Cf-252-Quellen mit jeweils 1,98 MBq) neu zu verpacken und die Sendung wieder auf den Weg zu bringen. Das Typ A-Versandstück konnte mit einer Umverpackung versehen und zu seinem Herkunftsort zurückgesandt werden. Es wurde bestätigt, dass nur ein minimaler Schaden an der Außenverpackung vorlag.

Erläuterung der Einstufung

Beispiel 17. Gestohlene industrielle Radiographiequelle – Stufe 1

Ereignisbeschreibung

Ein industrielles Radiographiegerät mit einer Ir-192-Quelle mit 4 TBq wurde von den nationalen Behörden als gestohlen gemeldet. Eine Pressemitteilung wurde veröffentlicht und eine Untersuchung in der Umgebung durchgeführt. Vierundzwanzig Stunden später fand man das Gerät in einem Graben an einer Fernstraße. Sowohl die Abschirmung als auch das Gerät waren vollständig intakt. Es wurde davon ausgegangen, dass keine Personen exponiert worden waren.

Erläuterung der Einstufung

Beispiel 18. Fund verschiedener Strahlenquellen in Altmetall – Stufe 1

Ereignisbeschreibung

Die Aufsichtsbehörde erhielt von einem Altmetallhändler eine Meldung, dass dort der Strahlendetektor am Eingangsportal ein Alarmsignal angezeigt hatte. Mit Hilfe tragbarer Messgeräte stellte die Aufsichtsbehörde ein erhöhtes Strahlungsniveau von 30 µSv/h an der Oberfläche eines 12 m-Containers fest. Der Container wurde daraufhin von einer Firma entladen, die auf das Aufspüren und die Bergung von radioaktiven Strahlenquellen in Altmetall spezialisiert ist. Drei Edelstahl-Quellenhalterungen wurden gefunden, von denen jede eine Cs-137-Quelle ohne Verschlussmechanismus enthielt. Zwei der Quellenhalterungen hatten Beschriftungen aus denen hervorging, dass es sich um eine Cs-137-Quelle mit 2 GBq und eine Cs-137-Quelle mit 8 GBq handelte. Die Dosisraten an den Oberflächen der drei verschiedenen Quellenhalterungen lagen bei etwa 4,5 bzw. 4,2 und 17 mSv/h, die jeweilige Aktivität betrug ca. 1,85 GBq bzw. 1,85 GBq und 7,4 GBq. Der Container war bereits fast einen Monat lang unterwegs gewesen, doch der Ursprung der drei Strahlenquellen konnte nicht bestimmt werden. Die Quellen wurden sichergestellt und zu einer geeigneten Einrichtung zu Lagerung radioaktiver Abfälle gebracht.

Erläuterung der Einstufung

Beispiel 19. Verlust eines Dichtemessers – Stufe 1

Ereignisbeschreibung

Ein Feuchtigkeits-/Dichtemesser wurde vermisst. Vermutlich wurde das Gerät auf einer Baustelle aus einem LKW gestohlen. Das Messgerät enthielt eine Cs-137-Quelle (0,47 GBq) sowie eine Am-241/Be-Neutronenquelle (1,6 GBq). Der Vorfall wurde den nationalen Behörden gemeldet, eine Pressemitteilung herausgegeben und eine Untersuchung der Umgebung durchgeführt. Einige Tage später wurde das Messgerät ohne Anzeichen einer Beschädigung wiedergefunden.

Erläuterung der Einstufung

Beispiel 20. Diebstahl einer radioaktive Quelle bei der Beförderung – Stufe 1

Ereignisbeschreibung

Bei Auslieferung einer Co-60-Strahlenquelle mit 1,85 GBq durch den Spediteur wurde die Verpackung leer vorgefunden. Die Quelle wurde sieben Stunden später in einem anderen Auslieferungs-LKW gefunden. Die Verpackung war vorsätzlich geöffnet worden. Bei einem Abstand von 1 m verursacht eine Co-60-Strahlenquelle mit 1,85 GBq eine Dosisleistung in Höhe von 0,5 mSv/h.

Es scheint, dass das Ereignis unmittelbares Ergebnis einer Nichtbeachtung der Regelungen für die Beförderung radioaktiver Stoffe war:

–

das von den Vorschriften vorgesehene Sicherheitssiegel war nicht an der Verpackung angebracht;

–

die Erklärung des Absenders war nicht ausgefüllt; und

–

die Kennzeichnung ,radioactive‘ schien nicht am Behälter angebracht gewesen zu sein (obgleich dies nicht abschließend geklärt werden konnte).

Erläuterung der Einstufung

Beispiel 21. Verschütten radioaktiver Stoffe in einer Abteilung für Nuklearmedizin – Stufe 1

Ereignisbeschreibung

In einem Krankenhaus wurde ein Handwagen zur Beförderung von Radionukliden aus der Abteilung für Radiopharmaka auf dem Weg zum Behandlungsraum in einen Zusammenstoß verwickelt. Das Ereignis geschah auf einem Krankenhausflur, wobei I-131 (4 GBq in flüssiger Form) auf den Boden verschüttet wurde. Zwei Personen (eine Pflegekraft und ein Patient) wurden jeweils mit einer geschätzten Aktivität von 10 MBq I-131 kontaminiert (Hände, Oberbekleidung und Schuhe). Personal aus der Abteilung für Nuklearmedizin wurde herbeigerufen, und die beiden Personen wurden innerhalb einer Stunde nach dem Ereignis dekontaminiert.

Die geschätzte Strahlenexposition der beiden beteiligten Personen war minimal (weniger als 0,5 mSv effektive Folgedosis). Der Bereich um die Kontamination wurde vorübergehend für zwei Wochen abgesperrt (äquivalent zweier Halbwertzeiten) und dann erfolgreich durch das Personal der Nuklearmedizin dekontaminiert.

Erläuterung der Einstufung

Beispiel 22. Zusammenstoß eines Zuges mit Versandstücken mit radioaktiven Stoffen – Stufe 1

Ereignisbeschreibung

In einem Bahnhof ereignete sich ein Zusammenstoß eines Zuges mit einem Gepäckwagen, der das Gleis kreuzte.

Unter dem Gepäck befanden sich Typ A-Versandstücke. Es handelte sich dabei um sieben Kartons mit einer Reihe von Radionukliden und zwei Fässern, von denen jedes einen Technetiumgenerator (unter Verwendung von Molybdän) mit einer Aktivität von 15 GBq (30 GBq zu Beginn der Beförderung) enthielt.

Aufgrund ihres geringen Gewichts erlitten die Kartons nur leichte Schäden, und es trat kein radioaktives Material aus. Die beiden Fässer wurden jedoch aus ihren Verpackungen geschleudert, wobei einer der Behälter zerbrach und den Führerstand der Lokomotive sowie den Kies unter den Schienen kontaminierte. 291 Personen wurden auf Kontaminationen hin untersucht. 19 davon wurden positiv mit jedoch unbedeutender Kontamination getestet. Alle gemessenen Dosiswerte lagen unter 0,1 mSv. Die daraus resultierende Kontamination gab keinen Anlass zur Sorge angesichts der geringen Mengen und der kurzen Halbwertzeiten der Radioisotope.

Eine beträchtliche Menge an Dekontaminationsgeräten wurde eingesetzt. Zwei Gleise wurden einen Tag lang abgesperrt und die Lokomotive wurde dekontaminiert.

Erläuterung der Einstufung

Beispiel 23. Fund von Kernmaterial in angeblich leeren Versandbehältern – Stufe 1

Ereignisbeschreibung

Eine Brennelementfabrik erhält routinemäßig leicht mit U-235 angereichertes Uranoxid aus dem Ausland. Das Material wird in besonderen Kanistern mechanisch versiegelt in einem Seefrachtcontainer befördert. Nach Entfernung des Materials sendet der Brennelementhersteller die leeren Kanister an den Lieferanten zurück.

Beim Empfang eines Containers mit 150 vermeintlich leeren Kanistern, entdeckte der Lieferant des Uranoxids, dass zwei Kanister jedoch voll waren und insgesamt etwa 100 kg Uranoxid enthielten. Die geschätzte Aktivität des Materials betrug 8 GBq. Die äußere Oberfläche der Kanister und der Seefrachtcontainer stellten sich als nicht kontaminiert heraus. Es wurden weder Personal noch Einzelpersonen der Bevölkerung durch dieses Ereignis einer unvorhergesehenen Strahlenexposition ausgesetzt.

Erläuterung der Einstufung

Beispiel 24. Auffällige Dosis auf einem Filmdosimeter – Stufe 1

Ereignisbeschreibung

Das Filmdosimeter einer Röntgenassistentin zeigte eine kumulierte Jahresdosis von 95 mSv. Dies wurde während einer Prüfung des Krankenhauses, in dem sie angestellt war, bemerkt. Die Aufsichtsbehörde unterzog das Krankenhaus einer gründlichen Untersuchung und stellte dabei für diese Person eine in einem einzelnen Monat aufgezeichnete Dosis von 54 mSv fest. Das Krankenhaus hatte jedoch bis zu dieser Überprüfung keine besonderen Maßnahmen ergriffen. Es verfügte über keinen Strahlgenerator, wie z. B. einen linearen Beschleuniger (LINAC), und es konnte kein Grund für die einzeln aufgetretene übermäßige Strahlenexposition gefunden werden. Es bestand die vage Möglichkeit von böser Absicht seitens eines Kollegen, was jedoch nicht direkt nachgewiesen werden konnte. Eine medizinische Untersuchung mit Bluttests zeigte keine Anomalien. Die Person zeigte ebenso keine Symptome einer deterministischen Strahlenwirkung. Sie wurde in einen anderen Bereich versetzt und erhielt zusätzliche Fortbildung. Unter der Annahme des ungünstigsten Falls, dass es sich um eine tatsächliche Dosis gehandelt hatte, wurde ihr der Zutritt zu Kontrollbereichen untersagt.

Erläuterung der Einstufung

Beispiel 25. Einschmelzen einer herrenlosen Strahlenquelle – Stufe 2

Ereignisbeschreibung

Eine herrenlose Strahlenquelle mit 1 TBq Cs-137, die versehentlich in Altmetall geraten war, wurde in einer Stahlfabrik eingeschmolzen. Fünfzig Mitarbeiter der Fabrik waren einer Strahlenexposition mit einer Dosis von jeweils geschätzten 0,3 mSv ausgesetzt.

Erläuterung der Einstufung

Beispiel 26. Verlust einer hochradioaktiven Strahlentherapiequelle – Stufe 3

Ereignisbeschreibung

Eine Inventur der Strahlenquellen in einem Krankenhaus, das einige Zeit lang geschlossen gewesen war, ergab, dass das Kopfstück eines Strahlentherapiegeräts mit einer Strahlenquelle von 100 TBq Co-60 fehlte. Das Gerät war in einer speziellen Einrichtung gelagert, aber eine Überprüfung des Inventars war seit mehreren Wochen nicht mehr durchgeführt worden. Es wurde vermutet, dass das Geräteteil von nicht berechtigten Personen aus dem Krankenhaus entwendet worden war. Einen Tag später wurde die Strahlenquelle bei der Suche zwei Kilometer entfernt auf offenem Gelände gefunden. Das Gerät war auseinandergebaut worden und die Strahlenquelle war nicht mehr abgeschirmt, jedoch unversehrt. Sie wurde von den nationalen Behörden geborgen.

Die nachfolgende Untersuchung wies darauf hin, dass mehrere Personen infolge des Ereignisses einer Strahlenexposition ausgesetzt worden waren:

–

Eine Person: Hände 20 Gy, effektive Dosis 500 mSv. Strahlenschäden an einer Hand sichtbar, dementsprechend Hauttransplantation und Amputation eines Fingers;

–

zwei Personen: Hände 2 Gy, effektive Dosis 400 mSv;

–

zwölf Personen: effektive Dosis 100 mSv. (Der gesetzliche Ganzkörperdosis-Jahreshöchstwert für beruflich strahlenexponierte Personen betrug 20 mSv.)

Erläuterung der Einstufung

Dieses Kapitel behandelt die Ereignisse, bei denen es keine „Auswirkungen auf Mensch und Umwelt“ (1. Bewertungsaspekt) sowie keine „Beeinträchtigung von Barrieren und Überwachungsmaßnahmen“ (2. Bewertungsaspekt) gab, jedoch einige Sicherheitsvorkehrungen versagt haben. Die Bereitstellung mehrfacher Vorkehrungen oder Barrieren wird als „gestaffeltes Sicherheitskonzept“ („defense in-depth“) bezeichnet. Der 3. Bewertungsaspekt von INES berücksichtigt demgemäß die Beeinträchtigung der gestaffelten Sicherheitsvorkehrungen.

Das Konzept der gestaffelten Sicherheitsvorkehrungen wird hier nicht im Einzelnen erläutert sondern als bekannt vorausgesetzt. In Annex I findet sich zusätzliches Hintergrundmaterial.

Das vorliegende Kapitel bezieht sich insbesondere auf die Einstufung von Ereignissen in Leistungsreaktoren während des Leistungsbetriebs. Jedoch sollte es auch bei der Einstufung von Ereignissen im Zustand „unterkritisch heiß“ oder beim Anfahren/Abfahren angewendet werden, da diese Betriebszustände sicherheitstechnisch gesehen dem Leistungsbetrieb recht ähnlich sind. Sobald sich der Reaktor jedoch im kalten abgeschalteten Zustand befindet, steht generell mehr Zeit für die Ereignisbeherrschung zur Verfügung, wobei einige Sicherheitssysteme weiterhin für die Gewährleistung der Sicherheitsfunktionen benötigt werden. Die Barrieren und ihre Wirksamkeit können sich im kalten abgeschalteten Zustand des Reaktors von denen im Leistungsbetrieb unterscheiden (z. B. offener Primärkreis, offener Sicherheitsbehälter). Aus diesen Gründen wird eine unterschiedliche Herangehensweise an die Einstufung von Ereignissen vorgeschlagen.

Ereignisse bei abgeschaltetem Reaktor sollten grundsätzlich anhand der Anleitung in Kapitel 6 eingestuft werden. Sind jedoch für diesen Anlagenzustand auslösende Ereignisse definiert (z. B. in einem anerkannten Sicherheitsnachweis), so kann für die Bewertung das in diesem Kapitel beschriebene Vorgehen für die Einstufung von Ereignissen herangezogen werden. Ereignisse in Reaktoren in Stilllegung oder mit kernbrennstofffreiem Reaktor sollten ebenso anhand Kapitel 6 eingestuft werden. Dies gilt auch für Ereignisse in Forschungsreaktoren, damit die gesamte Bandbreite maximal möglicher Auswirkungen hinsichtlich der jeweiligen Anlagenauslegung angemessen berücksichtigt werden können.

In einer Anlage können unterschiedliche Tätigkeiten durchgeführt werden. Jede dieser Tätigkeiten ist für die Einstufung gesondert zu betrachten. So sollten z. B. der Betrieb des Reaktors, die Arbeit in heißen Zellen und die Lagerung von Abfällen als separate Tätigkeiten angesehen werden, auch wenn sie alle in einer Anlage vorkommen können. Ereignisse im Zusammenhang mit heißen Zellen oder der Lagerung von Abfällen sollten anhand Kapitel 6 eingestuft werden.

Die Herangehensweise an die Einstufung basiert auf der Wahrscheinlichkeit, mit der das Ereignis zu einem Unfall hätte führen können. Dies geschieht nicht direkt anhand probabilistischer Methoden. Es wird untersucht, welche zusätzliche Ausfälle von Sicherheitsvorkehrungen zu unterstellen sind, aufgrund derer sich das Ereignis zu einem Unfall entwickeln würde. Daher wird eine Basiseinstufung durch die Berücksichtigung der Anzahl und Wirksamkeit verfügbarer Sicherheitsvorkehrungen zur Vermeidung, Beherrschung und Verringerung der Auswirkungen von Ereignissen – einschließlich passiver und aktiver Barrieren (Systeme und Einrichtungen sowie administrative Vorkehrungen) – bestimmt. Bei der Einstufung ergeben sich unterschiedliche Vorgehensweisen abhängig davon, ob ein auslösendes Ereignis vorgelegen hat oder nicht.

Durch Berücksichtigung von „zusätzlichen Faktoren“ ist eine Anhebung der Basiseinstufung möglich. Diese Höherstufung berücksichtigt Aspekte, die auf weitergehende sicherheitstechnisch wichtige Mängel oder Defizite in organisatorischen Vorkehrungen hinweisen. Zu berücksichtigende Faktoren sind gemeinsam verursachte Ausfälle, fehlerhafte Prozeduren sowie Mängel in der Sicherheitskultur. Solche Faktoren sind bei der Basiseinstufung möglicherweise nicht berücksichtigt worden und können darauf hinweisen, dass die Bedeutung des Ereignisses aufgrund von Schwachstellen in den gestaffelten Sicherheitsvorkehrungen höher ist, als bei der Basiseinstufung ermittelt. Dementsprechend kann eine Höherstufung um eine Stufe in Erwägung gezogen werden, um der Öffentlichkeit eine realistische Einschätzung des Ereignisses zu vermitteln. Aufgrund des in diesem Kapitel behandelten 3. Bewertungsaspekts kann ein Ereignis nicht höher als Stufe 3 bewertet werden.

Die beiden weiteren Kapitel zu den gestaffelten Sicherheitsvorkehrungen enthalten eine Anleitung zur Einstufung unter Berücksichtigung der „maximal möglichen Auswirkungen“ von Ereignissen. Dieser Aspekt braucht hier jedoch nicht berücksichtigt zu werden, da in einem Leistungsreaktor aufgrund seines Aktivitätsinventars im Falle eines Versagens aller Sicherheitsvorkehrungen ein Unfall der Stufe 5 oder höher möglich ist.

Dieses Kapitel des Handbuchs ist in drei Hauptabschnitte unterteilt. Der erste Abschnitt enthält eine Anleitung für die Ermittlung der Basiseinstufung von Ereignissen, die während des Leistungsbetriebs eines Reaktors auftreten. Der zweite Abschnitt (Abschnitt 5.2) enthält eine Anleitung zur Höherstufung von Ereignissen. Abschnitt 5.3 enthält eine Reihe von Beispielen.

5.1 Ermittlung der Basiseinstufung unter Berücksichtigung der Wirksamkeit von Sicherheitsvorkehrungen

Im Genehmigungsverfahren ist der Nachweis zu erbringen, dass mit den in einem Kernkraftwerk vorhandenen Sicherheitsvorkehrungen die nach dem Stand von Wissenschaft und Technik erforderliche Vorsorge gegen Schäden durch den Betrieb des Reaktors getroffen ist. In weiten Bereichen wird dieser Nachweis (im Nachfolgenden Sicherheitsanalyse genannt) anhand der Analyse repräsentativer Störungen und Störfälle (Auslegungsstörfälle) erbracht, wobei für jede zu unterstellende Störung und jeden zu unterstellenden Störfall die Wirksamkeit der vorgesehenen Sicherheitssysteme bzw. -maßnahmen gezeigt wird.

Bei einem Auslöser oder auslösenden Ereignis handelt es sich um ein Ereignis, das zu einer Abweichung vom normalen Betriebszustand sowie zur Anforderung einer oder mehrerer Sicherheitsfunktionen führt. Auslösende Ereignisse werden in Sicherheitsanalysen dazu verwendet, die Eignung der vorhandenen Sicherheitssysteme zu bewerten. Ein auslösendes Ereignis fordert Sicherheitssysteme an.

Ereignisse mit einer Auswirkung auf die gestaffelten Sicherheitsvorkehrungen können grundsätzlich in zwei Arten unterschieden werden:

(1)

Ein auslösendes Ereignis ist aufgetreten, das den Einsatz von Sicherheitssystemen notwendig macht, um diesen Auslöser zu beherrschen, oder

(2)

die Verfügbarkeit eines oder mehrerer Sicherheitssysteme ist eingeschränkt, ohne dass ein Auslöser aufgetreten ist und die Sicherheitssysteme angefordert wurden.

In beiden Fällen führt die Einschränkung der Verfügbarkeit von Sicherheitssystemen zu einer entsprechenden Beeinträchtigung der übergeordneten Sicherheitsfunktion, wobei zu berücksichtigen ist, dass mehrere Sicherheitssysteme zu einer Sicherheitsfunktion beitragen können. Die Beeinträchtigung der Sicherheitsfunktion ist für die Bestimmung der Einstufung von Bedeutung.

Im ersten Fall hängt die Einstufung des Ereignisses vom Ausmaß der Beeinträchtigung der Sicherheitsfunktion ab. Die Einstufung berücksichtigt jedoch ebenso die Häufigkeit des jeweiligen Auslösers.

Im zweiten Fall gibt es keine Abweichung vom Normalbetrieb der Anlage. Jedoch hätte die beobachtete Einschränkung der Verfügbarkeit zu bedeutsamen Konsequenzen führen können, wenn ein auslösendes Ereignis tatsächlich eingetreten wäre, zu dessen Beherrschung die betroffenen Sicherheitssysteme vorgesehen sind. In solch einem Fall hängt die Einstufung des Ereignisses sowohl

–

von der erwarteten Häufigkeit des potenziellen Auslösers

als auch von

–

der Verfügbarkeit der zugehörigen Sicherheitsfunktion, die durch die Verfügbarkeit der jeweiligen Sicherheitssysteme gewährleistet wird,

ab.

Hierbei ist in Betracht zu ziehen, dass bestimmte Ereignisse nach beiden Ansätzen eingestuft werden müssen (siehe Abschnitt 5.1.3 und Abschnitt 5.1.4 sowie Beispiel 35).

Zur Verdeutlichung der oben genannten Grundsätze soll als Beispiel ein Kernkraftwerk dienen, bei dem ein Notstromfall durch vier Notstromdiesel beherrscht werden soll. Damit sich ein Unfall ereignen könnte, müssten zum einen Sicherheitseinrichtungen des Reaktors aufgrund des Ereignisses angefordert worden sein (bei diesem Beispiel durch einen Notstromfall), zum anderen müssten die Sicherheitseinrichtungen teilweise oder ganz versagen (bei diesem Beispiel durch Versagen aller Notstromdiesel). Der Notstromfall wird als „auslösendes Ereignis“ bezeichnet, das Ansprechen der Diesel wird durch die Verfügbarkeit der „Sicherheitsfunktion“ (bei diesem Beispiel Nachkühlung nach der Schnell­abschaltung) definiert. So setzt der Eintritt eines nicht beherrschten Ereignisses einen Auslöser sowie die unzureichende Verfügbarkeit einer zugehörigen Sicherheitsfunktion voraus.

Bei der Einstufung gemäß den gestaffelten Sicherheitsvorkehrungen wird abgeschätzt, wie groß der Abstand zu einem nicht beherrschten Störfall war (d. h. ob ein auslösendes Ereignis aufgetreten ist oder inwieweit die Verfügbarkeit der Sicherheitsfunktionen unter Berücksichtigung der Wahrscheinlichkeit für das Eintreten eines auslösenden Ereignisses eingeschränkt war). Im vorangegangenen Beispiel wäre bei einem Notstromfall und auslegungsgemäßem Start der Notstromdiesel ein nicht beherrschter Störfall unwahrscheinlich gewesen (solch ein Ereignis würde als unterhalb der Skala/Stufe 0 eingestuft). Ebenso wäre beim Versagen eines Notstromdiesels bei einem Test und Verfügbarkeit der anderen Diesel sowie der Fremdnetzversorgung ein nicht beherrschter Störfall unwahrscheinlich (auch solch ein Ereignis würde wiederum als unterhalb der Skala/Stufe 0 eingestuft).

Würde jedoch während des Leistungsbetriebs festgestellt, dass alle Diesel seit einem Monat nicht mehr verfügbar waren, dann wäre trotz der Verfügbarkeit der Netzversorgung und der fehlenden Notwendigkeit eines Einsatzes der Diesel ein Störfall relativ wahrscheinlich gewesen, da die Wahrscheinlichkeit für das Eintreten eines Notstromfalls relativ hoch war (sofern keine weiteren Sicherheitsvorkehrungen wie weitere Netzanbindungen zur Verfügung stehen würden, würde ein derartiges Ereignis auf Stufe 3 eingestuft).

Bei der Einstufung wird also berücksichtigt,

–

ob Sicherheitseinrichtungen tatsächlich angefordert wurden (d. h. bei Auftreten eines auslösenden Ereignisses),

–

inwieweit die Verfügbarkeit der relevanten Sicherheitsfunktionen gegeben war und

–

wie hoch die Wahrscheinlichkeit für das Auftreten eines auslösenden Ereignisses war.

Der grundlegende Ansatz für die Einstufung von Ereignissen beruht auf der Ermittlung der Häufigkeit der auslösenden Ereignisse und der Verfügbarkeit der betroffenen Sicherheitsfunktionen. Um zur angemessenen Basiseinstufung zu gelangen, kommen zwei Tabellen zur Anwendung (siehe Abschnitt 5.1.3 und Abschnitt 5.1.4). Im Folgenden wird eine detaillierte Anleitung zu jedem Aspekt der Einstufung gegeben.

5.1.1 Feststellung der Häufigkeit eines auslösenden Ereignisses

Es wurden vier unterschiedliche Häufigkeitskategorien festgelegt:

(1)

Zu erwartende Ereignisse

Diese Kategorie deckt Ereignisse ab, die während der Betriebsdauer der Anlage einmal oder mehrmals auftreten (d. h. ≥ 10^–2 pro Jahr).

(2)

Mögliche Ereignisse

Dies sind Ereignisse, die nicht erwartet werden, die jedoch während der Betriebsdauer der Anlage eine angenommene Eintrittshäufigkeit (f) von mehr als etwa 1 % (i. e. 10^–4< f < 10^–2 pro Jahr) aufweisen.

(3)

Unwahrscheinliche Ereignisse

Dies sind in der Auslegung der Anlage berücksichtigte Ereignisse, die eine geringere Eintrittshäufigkeit als die zuvor genannten (≤ 10^–4 pro Jahr) aufweisen.

(4)

Auslegungsüberschreitende Ereignisse

Dies sind Ereignisse mit einer sehr geringen Eintrittshäufigkeit, die normalerweise nicht in der Sicherheitsanalyse zur Errichtung der Anlage betrachtet wurden. Gibt es zur Beherrschung solcher Ereignisse Maßnahmen und Einrichtungen, so weisen diese nicht unbedingt denselben Redundanzgrad oder dieselbe Diversität auf wie Einrichtungen zur Beherrschung von Auslegungsstörfällen.

Für jeden Reaktor existiert eine Zusammenstellung von auslösenden Ereignissen als Teil der Sicherheitsanalyse. Diese sollte bei der Einstufung von Ereignissen herangezogen werden. Typische Beispiele von in der Auslegung berücksichtigten Ereignissen sind im Anhang II aufgeführt und den obigen Kategorien zugeordnet. Diese können als Orientierung bei der Einstufung dienen. Wichtig ist jedoch, dass soweit vorhanden die Auslöser und Häufigkeiten der Anlage, in der das Ereignis aufgetreten ist, herangezogen werden. Bei Ermittlung der Häufigkeit zur Einstufung ist nicht die Wahrscheinlichkeit eines konkreten Ereignisablaufs, sondern die zugehörige Ereigniskategorie maßgebend.

Geringfügige Anlagenstörungen, die durch betriebliche Systeme und Steuerungen (im Gegensatz zu Reaktorschutzsystem und Sicherheitssystem) beherrscht werden, zählen nicht zu den auslösenden Ereignissen. Lässt sich die Anlage jedoch nicht durch die betrieblichen Systeme stabilisieren, so führt dies letztendlich zu einem auslösenden Ereignis. Aus diesem Grund kann das auslösende Ereignis ein anderes sein als die Störung, mit der die Ereigniskette begann (siehe Beispiel 36). Andererseits kann eine Reihe unterschiedlicher Ereignisabläufe oft unter einem einzelnen auslösenden Ereignis zusammengefasst werden.

Für viele Ereignisse kann es erforderlich sein, mehr als ein auslösendes Ereignis zu betrachten, wobei für jedes Einzelereignis eine Einstufung vorzunehmen ist. Die Einstufung des gesamten Ereignisses entspricht dann dem am höchsten eingestuften Einzelereignis. So kann z. B. ein Leistungsanstieg in einem Reaktor ein auslösendes Ereignis darstellen, das Sicherheitseinrichtungen anfordert. Dies könnte dann in der Folge zur Reaktorschnellabschaltung führen. Diese Reaktorschnellabschaltung wäre dann als auslösendes Ereignis zu betrachten, das die Sicherheitsfunktion „Kernbrennstoffkühlung“ anfordern würde.

5.1.2 Verfügbarkeit der Sicherheitsfunktionen

Die drei grundlegenden Sicherheitsfunktionen für den Reaktorbetrieb sind:

(1)

Kontrolle der Reaktivität,

(2)

Kühlung des Kernbrennstoffs und

(3)

Einschluss der radioaktiven Stoffe.

Diese Funktionen werden durch passive Systeme (wie physische Barrieren) und aktive Systeme (wie das Reaktorschutzsystem) gewährleistet. Mehrere Sicherheitssysteme können zu einer speziellen Sicherheitsfunktion beitragen, wobei die Sicherheitsfunktion auch bei Nichtverfügbarkeit eines Systems erfüllt werden kann. Nach dem Auftreten eines Ereignisses können nämlich auch andere Systeme (z. B. betriebliche Systeme) zu einer bestimmten Sicherheitsfunktion beitragen (siehe die Erläuterungen unter der Definition zu „Ausreichende Verfügbarkeit“ [Buchstabe C]). Gleicher­maßen sind Hilfssysteme wie Stromversorgung, Kühlsysteme und Messeinrichtungen zur Gewährleistung der Sicherheitsfunktionen notwendig. Bei der Einstufung von Ereignissen ist es wichtig, die Verfügbarkeit von Sicherheitsfunktionen und nicht die Verfügbarkeit von einzelnen Systemen zu bewerten. Ein System oder eine Komponente wird als verfügbar erachtet, wenn es bzw. sie in der Lage ist, die geforderte Funktion vollständig zu erfüllen.

Die Sicherheitsspezifikationen einer Anlage regeln die notwendige Verfügbarkeit der Sicherheitssysteme. Diese sind im Betriebshandbuch der jeweiligen Anlage enthalten.

Für ein bestimmtes auslösendes Ereignis kann sich die Verfügbarkeit einer Sicherheitsfunktion zwischen einem Zustand bewegen, bei dem alle Komponenten der zugehörigen Sicherheitssysteme voll funktionsfähig sind, und einem Zustand, bei dem die Funktionsfähigkeit der zugehörigen Sicherheitssysteme nicht ausreicht, um die Sicherheitsfunktion zu erfüllen. Im Rahmen der Bewertungsskala werden die folgenden vier Kategorien hinsichtlich der Verfügbarkeit unterschieden.

A.

Volle Verfügbarkeit

Alle Sicherheitssysteme und Komponenten, welche auslegungsgemäß eine Sicherheitsfunktion erfüllen, um ein bestimmtes auslösendes Ereignis zu beherrschen, sind voll verfügbar (d. h. Redundanz/Diversität ist in vollem Umfang vorhanden).

B.

Mindestverfügbarkeit nach Sicherheitsspezifikation

Die Sicherheitsspezifikationen legen für die einzelnen Sicherheitseinrichtungen minimale Anforderungen an die Verfügbarkeit fest, die für den Leistungsbetrieb (möglicherweise für einen begrenzten Zeitraum) eingehalten werden müssen, damit die Sicherheitsfunktionen gewährleistet sind.

Die Mindestverfügbarkeit ist im Allgemeinen für die verschiedenen Sicherheitseinrichtungen so festgelegt, dass die zugehörigen Sicherheitsfunktionen für auslösende Ereignisse gewährleistet sind. Für bestimmte Auslöser können dabei noch Redundanz und Diversität vorhanden sein.

C.

Ausreichende Verfügbarkeit

Die Verfügbarkeit mindestens eines der Sicherheitssysteme bzw. -einrichtungen, die eine Sicherheitsfunktion gewährleisten, reicht aus, diese Sicherheitsfunktion für das betrachtete auslösende Ereignis zu erfüllen.

In einigen Fällen können die Anforderungen nach Kategorie B und Kategorie C gleich sein. D. h., die Verfügbarkeit ist unzureichend, sofern nicht alle Sicherheitssysteme den Anforderungen der Sicherheitsspezifikation genügen.

In anderen Fällen entspricht Kategorie C einem Verfügbarkeitsniveau, das geringer ist als in der Sicherheitsspezifikation gefordert. Ein Beispiel hierfür ist, dass die Sicherheitsspezifikation die Verfügbarkeit aller diversitären Sicherheitssysteme fordert, jedoch nur eines verfügbar ist. Ein anderes Beispiel betrifft eine nur kurzfristige Unverfügbarkeit aller Sicherheitssysteme, die für die Gewährleistung einer Sicherheitsfunktion vorgesehen sind, so dass die Sicherheitsfunktion weiterhin gewährleistet ist, obwohl die Sicherheitssysteme die Anforderungen der Sicherheitsspezifikation nicht erfüllen. (Tritt zum Beispiel ein Komplettausfall der Stromversorgung („Station Blackout“) nur für eine sehr kurze Zeit auf, ist im Allgemeinen die Kühlung des Reaktorkerns noch gewährleistet.) Bei der Ermittlung der Wirksamkeit solcher Vorkehrungen ist es wichtig, die Zeit in Betracht zu ziehen, die für die Festlegung und Umsetzung geeigneter Abhilfemaßnahmen notwendig ist.

Weiterhin ist es möglich, dass die Sicherheitsfunktion aufgrund der Verfügbarkeit von Systemen, die nicht zu den Sicherheitssystemen gehören, adäquat erfüllt ist (siehe Beispiel 40). Derartige (z. B. betriebliche) Systeme können berücksichtigt werden, wenn sie nachgewiesenermaßen (oder bekanntermaßen) während des Ereignisses verfügbar waren. Jedoch ist bei der Berücksichtigung von derartigen Systemen, die nicht zu den Sicherheitssystemen gehören, Vorsicht geboten. Ihre Verfügbarkeiten werden generell nicht so überwacht und geprüft, wie dies für die Sicherheitssysteme der Fall ist.

D.

Unzureichende Verfügbarkeit

Die Verfügbarkeit einer Sicherheitsfunktion wird als unzureichend bezeichnet, wenn die Sicherheitsfunktion von den vorgesehenen Sicherheitssystemen für das zu betrachtende Ereignis nicht mehr erfüllt werden kann.

Zu beachten ist, dass die Kategorien C und D eine Reihe von Anlagenzuständen umfassen. Die Kategorien A und B stellen festgelegte Verfügbarkeiten von Sicherheitseinrichtungen dar. Daher kann sich die tatsächliche Verfügbarkeit zwischen den oben genannten Kategorien A und B befinden. So kann zum Beispiel die Verfügbarkeit einer Sicherheitsfunktion zwar nicht vollständig gegeben sein aber oberhalb der Mindestanforderungen für den Leistungsbetrieb liegen. Auf diesen Punkt wird in Abschnitt 5.1.3 näher eingegangen.

5.1.3 Basiseinstufung für Ereignisse mit „auslösendem Ereignis“

Um zu einer Basiseinstufung zu gelangen, sollte zunächst entschieden werden, ob tatsächlich eine Anforderung der Sicherheitssysteme (auslösendes Ereignis) vorgelegen hat. Ist dies der Fall, so ist der vorliegende Abschnitt zutreffend, andernfalls wäre Abschnitt 5.1.4 anzuwenden. Es kann notwendig sein, ein Ereignis anhand beider Abschnitte zu bewerten, falls ein auslösendes Ereignis auftritt und eine eingeschränkte Verfügbarkeit in einem System vorliegt, das nicht durch den Auslöser angefordert wurde, z. B. falls bei einer Reaktorschnellabschaltung ohne Notstromfall eine eingeschränkte Verfügbarkeit von Notstromdieseln festgestellt wird.

Für Ereignisse mit einem potenziellen Versagen, das zu einem auslösenden Ereignis geführt haben könnte (z. B. Befunde oder kleine Lecks, die sicherheitstechnisch unbedeutend sind oder durch Maßnahmen des Betreibers beseitigt wurden), wird ein ähnlicher Ansatz verwendet. Dabei ist es jedoch ebenfalls notwendig, die Wahrscheinlichkeit für das tatsächliche Auftreten eines auslösenden Ereignisses zu berücksichtigen. Auf diesen Punkt wird in Abschnitt 5.1.5 näher eingegangen.

5.1.3.1 Einstufungsgrundlage

Die Einstufungen für Vorkommnisse mit auslösendem Ereignis sind in Tabelle 9 aufgeführt. Die in der Tabelle angegebenen Werte basieren auf folgender Grundlage.

Ist die Sicherheitsfunktion unzureichend gewährleistet, so handelt es sich offenbar um ein nicht beherrschtes Ereignis (Unfall). Dieses ist auf der Grundlage der tatsächlichen Auswirkungen einzustufen. Solch eine Einstufung kann weit über Stufe 3 hinausgehen. Im Bewertungsaspekt Beeinträchtigung von Sicherheitsvorkehrungen stellt Stufe 3 jedoch die höchste Stufe dar. Dieser Umstand wird in Tabelle 9 durch die Angabe 3+ ausgedrückt.

Ist die Sicherheitsfunktion gerade noch ausreichend gewährleistet, so ist Stufe 3 angemessen, da erst ein weiteres Versagen zu einem Unfall führen würde. In anderen Fällen jedoch kann trotz geringerer Verfügbarkeit als in der Sicherheitsspezifikation gefordert die Sicherheitsfunktion noch bedeutend höher als gerade noch ausreichend verfügbar sein, insbesondere bei zu erwartenden Auslösern, da die Anforderungen der Sicherheitsspezifikation oft noch eine Redundanz bzw. Diversität vorsehen. Daher ist in Tabelle 9 für zu erwartende Auslöser und ausreichende Verfügbarkeit der Sicherheitsfunktion die Stufe 2 oder 3 ausgewiesen, wobei die Wahl von dem Ausmaß abhängt, zu dem die Verfügbarkeit höher als nur ausreichend ist. Für unwahrscheinliche Auslöser ist die in der Sicherheitsspezifikation geforderte Verfügbarkeit wahrscheinlich gerade noch ausreichend, weshalb generell Stufe 3 für eine ausreichende Verfügbarkeit angemessen wäre. Es gibt jedoch möglicherweise bestimmte Auslöser, für die zusätzliche Redundanzen bestehen, weshalb in Tabelle 9 für alle Auslöserhäufigkeiten die Stufen 2 oder 3 angegeben sind.

Bei voller Verfügbarkeit der Sicherheitsfunktion und dem Auftreten eines zu erwartenden Auslösers sollte dies eindeutig als unterhalb der Skala/Stufe 0 eingestuft werden, wie in Tabelle 9 angegeben. Das Auftreten eines möglichen oder unwahrscheinlichen Auslösers stellt jedoch auch im Falle vorhandener Redundanz bei den Sicherheitssystemen ein Versagen eines der wichtigen Bestandteile des Konzepts der gestaffelten Sicherheitsvorkehrungen dar, nämlich die Vermeidung von auslösenden Ereignissen. Aus diesem Grund wird in Tabelle 9 für mögliche Auslöser Stufe 1 und für unwahrscheinliche Auslöser Stufe 2 angegeben.

Liegt die Verfügbarkeit von Sicherheitsfunktionen bei dem in der Sicherheitsspezifikation geforderten Minimum, wird – wie bereits beschrieben – in einigen Fällen für mögliche und insbesondere auch für unwahrscheinliche Auslöser keine weitere Redundanz mehr zur Verfügung stehen. Deshalb ist hier, je nach verbleibender Redundanz, Stufe 2 oder 3 angemessen. Für zu erwartende auslösende Ereignisse wird noch zusätzliche Redundanz verbleiben, weshalb eine niedrigere Einstufung vorgeschlagen wird. In Tabelle 9 ist diesbezüglich die Stufe 1 oder 2 vorgesehen, wobei wiederum die gewählte Einstufung von der zusätzlichen Redundanz innerhalb der Sicherheitsfunktion abhängig sein sollte. Wo die Verfügbarkeit von Sicherheitsfunktionen höher ist als das in der Sicherheitsspezifikation geforderte Minimum, aber geringer als voll, kann dennoch erhebliche Redundanz und Diversität zur Beherrschung von zu erwartenden Auslösern vorliegen. In solchen Fällen wäre eher eine Einstufung unterhalb der Skala/Stufe 0 angemessen.

Tabelle 9: Ereignisse mit einem auslösenden Ereignis

5.1.3.2 Einstufungsverfahren

Vor dem im vorangegangenen Abschnitt beschriebenen Hintergrund sollten Ereignisse unter Anwendung des folgenden Verfahrens eingestuft werden:

(1)

Bestimmung des auslösenden Ereignisses.

(2)

Festlegung der Häufigkeitskategorie, welche diesem auslösenden Ereignis zugeordnet wird. Bei der Wahl der geeigneten Kategorie ist die relevante Häufigkeit diejenige, welche im Sicherheitsnachweis für die Anlage bezogen auf die Betriebsbedingungen unterstellt wird.

(3)

Festlegung der Verfügbarkeitskategorie der Sicherheitsfunktionen, die durch das auslösende Ereignis angefordert werden.

(a)

Hierbei ist es wichtig, dass nur jene Sicherheitsfunktionen berücksichtigt werden, die spezifikationsgemäß durch den Auslöser angefordert werden. Wird eine Beeinträchtigung anderer Sicherheitssysteme entdeckt, so sollte diese unter Anwendung der Ausführungen zu den Ereignissen ohne auslösendes Ereignis in Abschnitt 5.1.4 unter Berücksichtigung des auslösenden Ereignisses, aufgrund dessen das Sicherheitssystem angefordert worden wäre, bewertet werden.

(b)

Bei der Entscheidung darüber, ob die Verfügbarkeit innerhalb der Grenzen der Sicherheitsspezifikation liegt, sind nicht die Verfügbarkeitsanforderungen während des Ereignisses, sondern jene vor dem Ereignis zu betrachten.

(c)

Liegt die Verfügbarkeit innerhalb der Grenzen der Sicherheitsspezifikation, ist jedoch nur gerade noch ausreichend, so sollte die Verfügbarkeitskategorie C angewendet werden, da keine zusätzliche Redundanz verfügbar ist (siehe vorherige Absätze dieses Abschnitts).

(4)

Die Einstufung des Ereignisses sollte dann gemäß Tabelle 9 hergeleitet werden. Ist die Einstufung nicht ganz eindeutig, so sollte der Grad der verfügbaren Redundanz und Diversität für das betrachtete auslösende Ereignis mit einbezogen werden.

(a)

Ist die Verfügbarkeit der Sicherheitsfunktion noch gerade ausreichend (d. h. ein weiteres Versagen hätte zu einem Unfall geführt), dann ist Stufe 3 angemessen.

(b)

Bei verbleibender erheblicher Redundanz und/oder Diversität ist z. B. bei einem zu erwartenden Auslöser und der gemäß Sicherheitsspezifikation minimalen Verfügbarkeit (Zelle B1 der Tabelle 9) der niedrigere Wert angemessen.

(c)

Einige Reaktortypen verfügen über eine große Redundanz/Diversität für zu erwartende auslösende Ereignisse. Ist die Verfügbarkeit von Sicherheitsfunktionen erheblich höher als das in der Sicherheitsspezifikation geforderte Minimum, jedoch leicht geringer als vollständig vorhanden, ist eher eine Einstufung unterhalb der Skale/Stufe 0 angemessen.

Auslegungsüberschreitende Ereignisse (Explosion, Flugzeugabsturz) werden nicht speziell in Tabelle 9 erfasst. Ein solches Ereignis kann in einem Unfall münden, was eine Einstufung anhand der radiologischen Auswirkungen auf Mensch und Umwelt bzw. der Beeinträchtigung von Barrieren erfordert. Kommt es nicht zu einem Unfall, so ist je nach Redundanz der zur Ereignisbeherrschung vorhandenen Systeme Stufe 2 oder 3 gemäß den gestaffelten Sicherheitsvorkehrungen angemessen.

Einwirkungen von innen und außen, die keine auslegungsüberschreitenden Ereignisse sind (z. B. Brand, Überschwemmung, Explosion, Sturm oder Erdbeben), können anhand von Tabelle 9 eingestuft werden. Die Einwirkung selbst sollte nicht als auslösendes Ereignis betrachtet werden. Die Einwirkung kann entweder ein auslösendes Ereignis oder eine Beeinträchtigung von Sicherheitssystemen oder beides verursachen. Jedoch sollten die verfügbar verbliebenen Sicherheitssysteme auf der Grundlage eines tatsächlichen oder potenziellen auslösenden Ereignisses bewertet werden.

5.1.4 Bewertung der Basiseinstufung für Ereignisse ohne auslösendes Ereignis

Wie im vorangegangenen Abschnitt dargelegt, ist zur Festlegung der Basiseinstufung zunächst zu entscheiden, ob tatsächlich Sicherheitssysteme angefordert wurden (auslösendes Ereignis). Ist dies der Fall, dann ist Abschnitt 5.1.3 heranzuziehen, andernfalls ist entsprechend dem vorliegenden Abschnitt vorzugehen. Gegebenenfalls muss ein Ereignis auch anhand beider Abschnitte bewertet werden. Dies ist dann der Fall, wenn ein auslösendes Ereignis auftritt und eine eingeschränkte Verfügbarkeit eines Systems vorliegt, das nicht durch das auslösende Ereignis angefordert worden ist (z. B. wenn bei einer Reaktorschnellabschaltung ohne Notstromfall die eingeschränkte Verfügbarkeit von Notstromdieseln festgestellt wird).

Für Ereignisse mit potenziellen Ausfällen, die zur Nichtverfügbarkeit von Sicherheitssystemen führen könnten (z. B. Befunde) wird ein ähnlicher Ansatz verwendet. Es ist jedoch notwendig, die Wahrscheinlichkeit der Nichtverfügbarkeit des Sicherheitssystems zu berücksichtigen. Auf diesen Punkt wird in Abschnitt 5.1.5 näher eingegangen.

5.1.4.1 Einstufungsgrundlage

Die Einstufungen für Vorkommnisse mit auslösendem Ereignis sind in Tabelle 10 aufgeführt.

Die Einstufung eines Ereignisses hängt vom Ausmaß der Beeinträchtigung der Sicherheitsfunktionen sowie von der Wahrscheinlichkeit des auslösenden Ereignisses ab, für deren Beherrschung sie vorgesehen sind. Streng genommen handelt es sich um die Wahrscheinlichkeit für das Auftreten des auslösenden Ereignisses während des Zeitraums der Beeinträchtigung der Sicherheitsfunktionen. Im Allgemeinen wird bei dieser Methode der Zeitraum jedoch nicht berücksichtigt. Ist der Beeinträchtigungszeitraum jedoch sehr kurz, kann eine niedrige als in Tabelle 10 angegebene Stufe angemessen sein (siehe Abschnitt 5.1.4.2).

Ist die Verfügbarkeit einer Sicherheitsfunktion unzureichend, so ist die Verhinderung eines Unfalls allein durch das Nichtauftreten eines auslösenden Ereignisses begründet. Für solch ein Ereignis ist – bei Notwendigkeit der Sicherheitsfunktion für zu erwartende auslösende Ereignisse – Stufe 3 angemessen. Ist die unzureichende Sicherheitsfunktion nur für mögliche oder unwahrscheinliche auslösende Ereignisse erforderlich, ist eindeutig eine niedrigere Stufe angemessen, da die Wahrscheinlichkeit eines Unfalls viel geringer ist. Aus diesem Grund wird in Tabelle 10 die Stufe 2 für mögliche auslösende Ereignisse und Stufe 1 für unwahrscheinliche Ereignisse angegeben.

Ist die Sicherheitsfunktion ausreichend verfügbar, so sollte die Einstufung offenkundig niedriger ausfallen als bei nicht ausreichender Verfügbarkeit. Demzufolge ist Stufe 2 angemessen, wenn die Funktion für zu erwartende auslösende Ereignisse benötigt wird und die Verfügbarkeit nur ausreichend ist. Dennoch kann in einer Reihe von Fällen die Verfügbarkeit der Sicherheitsfunktionen bedeutend höher als nur ausreichend sein, sich aber nicht innerhalb der Anforderungen der Sicherheitsspezifikation bewegen. Die Sicherheitsspezifikationen beinhalten nämlich neben der geforderten Mindestverfügbarkeit oft auch noch Anforderungen bezüglich Redundanz und/oder Diversität zur Beherrschung zu erwartender auslösender Ereignisse. In solchen Situationen ist Stufe 1 eher angemessen. Nach Tabelle 10 ist daher die Wahl zwischen Stufe 1 oder 2 möglich. Der angemessene Wert sollte abhängig von der verbleibenden Redundanz und/oder Diversität gewählt werden.

Wird die betroffene Sicherheitsfunktion für mögliche oder unwahrscheinliche auslösende Ereignisse benötigt, so ergibt sich eine Herabstufung um eine Stufe von der Stufe, die oben für ein nicht ausreichend verfügbares Sicherheitssystem hergeleitet worden ist. Eine Einstufung auf Stufe 1 ergibt sich für mögliche auslösende Ereignisse und eine Einstufung unterhalb der Skala/Stufe 0 für unwahrscheinliche auslösende Ereignisse. Es ist jedoch nicht angemessen, eine Verfügbarkeit der Sicherheitsfunktionen unterhalb der Anforderungen der Sicherheitsspezifikation als unterhalb der Skala/Stufe 0 zu kategorisieren. In Tabelle 10 ist daher Stufe 1 für sowohl mögliche als auch für unwahrscheinliche auslösende Ereignisse angegeben.

Ist die Verfügbarkeit der Sicherheitsfunktionen vollständig vorhanden oder im Rahmen der Anforderungen der Sicherheitsspezifikation, so befand sich die Anlage in einem Zustand sicherer Betriebsbedingungen. Hier ist eine Einstufung unterhalb der Skala/Stufe 0 für alle Häufigkeiten von auslösenden Ereignissen angemessen. In Tabelle 10 ist daher eine Einstufung unterhalb der Skala/Stufe 0 für alle Zellen der Zeilen A und B angegeben.

Tabelle 10: Ereignisse ohne auslösendes Ereignis

5.1.4.2 Einstufungsverfahren

Vor dem im vorangegangenen Abschnitt beschriebenen Hintergrund sollten Ereignisse unter Anwendung des folgenden Verfahrens eingestuft werden:

(1)

Festlegung der Verfügbarkeitskategorie der Sicherheitsfunktionen.

(a)

Ist die Verfügbarkeit gerade noch ausreichend aber noch innerhalb der Grenzen der Sicherheitsspezifikation, sollte Zeile B (Tabelle 10) angewendet werden, da sich die Anlage in einem Zustand genehmigter Betriebsbedingungen befand.

(b)

In der Praxis können sich Sicherheitssysteme oder Komponenten in einem Zustand befinden, der von keiner der vier Kategorien vollständig abgebildet wird. Die Verfügbarkeit der Sicherheitsfunktionen kann weniger als voll sein, sich aber immer noch oberhalb der Mindestanforderungen der Sicherheitsspezifikation befinden. Ebenso kann ein System zwar voll verfügbar aber durch Versagen der Instrumentierung eingeschränkt sein. In solchen Fällen sollte die Einstufung nach einer angemessenen Abwägung gewählt werden.

(2)

Festlegung der Häufigkeitskategorie des auslösenden Ereignisses, für welches die betroffene Sicherheitsfunktion benötigt wird:

(a)

Gibt es mehr als ein relevantes auslösendes Ereignis, so ist jedes getrennt zu betrachten, wobei bei der endgültigen Einstufung dasjenige zu berücksichtigen ist, das die höchste Einstufung ergibt.

(b)

Liegt die Häufigkeit an der Grenze zwischen zwei Kategorien, können beide Kategorien berücksichtigt werden, um die mögliche Bandbreite der Einstufung darzustellen. Die endgültige Stufe sollte dann nach angemessener Abwägung gewählt werden.

(c)

Bei Systemen, die speziell zur Beherrschung von inneren oder äußeren Einwirkungen vorgesehen sind, sollten diese Einwirkungen als auslösende Ereignisse angesehen werden.

(3)

Die Einstufung des Ereignisses sollte gemäß Tabelle 10 hergeleitet werden:

(a)

War der Zeitraum der Nichtverfügbarkeit sehr kurz im Vergleich zum Prüfintervall der Einrichtung (z. B. einige Stunden für eine Komponente mit einem monatlichen Prüfzeitraum), sollte die Herabstufung der Basiseinstufung des Ereignisses erwogen werden.

(b)

In Zelle C1 der Tabelle 10 wird eine Wahlmöglichkeit der Einstufung dargestellt. Die Auswahl der Stufe sollte davon abhängen, ob die Verfügbarkeit gerade noch ausreichend oder ob noch Redundanz und/oder Diversität für das betrachtete auslösende Ereignis vorhanden war.

Auslegungsüberschreitende auslösende Ereignisse werden in Tabelle 10 nicht speziell erfasst. Ist die Verfügbarkeit der betroffenen Sicherheitsfunktion geringer als das in der Sicherheitsspezifikation geforderte Minimum, so ist Stufe 1 angemessen. Liegt die Verfügbarkeit innerhalb des Rahmens der Anforderungen der Sicherheitsspezifikation oder sieht die Sicherheitsspezifikation keine Mindestverfügbarkeit vor, so ist eine Einstufung unterhalb der Skala/Stufe 0 angemessen.

5.1.5 Potenzielle Ereignisse (einschließlich Befunde)

Einige Ereignisse sind keine auslösenden Ereignisse oder beruhen nicht auf einer eingeschränkten Verfügbarkeit von Sicherheitssystemen. Dennoch stellen sie eine erhöhte Wahrscheinlichkeit für das Eintreten eines solchen Ereignisses dar. Beispiele hierfür sind das Auffinden von Befunden oder ein mit betrieblichen Mitteln unterbundenes Leck. Die generelle Herangehensweise an die Einstufung solcher Ereignisse ist wie folgt:

Zunächst sollte die Bedeutung des potenziellen Ereignisses, das sich aus dem Befund entwickeln kann, unter der Annahme dass es tatsächlich aufgetreten ist, bewertet werden. Hierbei sollte, je nach Art des Befundes, Abschnitt 5.1.3 oder Abschnitt 5.1.4 herangezogen werden. Die Wahl des Abschnitts hängt davon ab, ob es sich bei dem potenziellen Ereignis um ein auslösendes Ereignis (Abschnitt 5.1.3) oder eine Beeinträchtigung eines Sicherheitssystems (Abschnitt 5.1.4) handelt. Dann sollte die Einstufung in Abhängigkeit von der Wahrscheinlichkeit, dass sich das betrachtete potenzielle Ereignis aus dem Befund tatsächlich entwickeln würde, herabgestuft werden. Der Grad der Herabstufung ist nach sorgfältiger Abwägung aller in Frage kommenden Faktoren zu bestimmen.

Eines der häufigsten Beispiele eines potenziellen Ereignisses ist die Entdeckung eines Werkstofffehlers. Aufgabe des Überwachungsprogramms ist es, diese Fehler zu entdecken, bevor deren Ausmaße inakzeptabel werden. Ist der Befund innerhalb akzeptabler Grenzen, ist eine Einstufung unterhalb der Skala/Stufe 0 angemessen.

Wird ein Fehler festgestellt, der schwerwiegender ist als im Rahmen des Überwachungsprogramms unterstellt, so müssen bei der Einstufung des Ereignisses zwei Faktoren berücksichtigt werden:

Zuerst sollte die Einstufung des potenziellen Ereignisses unter der Annahme, dass der Fehler zu einem Versagen der Komponente geführt hätte, gemäß Abschnitt 5.1.3 oder Abschnitt 5.1.4 festgelegt werden. Hätte sich aus dem Versagen der fehlerhaften Komponente ein auslösendes Ereignis ergeben können, dann führt die Anwendung von Abschnitt 5.1.3 zur Basiseinstufung des potenziellen Ereignisses. Ist der Fehler in einem Sicherheitssystem aufgetreten, erfolgt die Basiseinstufung des potenziellen Ereignisses durch Anwendung von Abschnitt 5.1.4. Hierbei ist die Möglichkeit eines Ausfalls aus gemeinsamer Ursache zu berücksichtigen. Auch wenn der Fehler bei abgeschalteter Anlage entdeckt wurde, muss seine Bedeutung über den Zeitraum hinweg in Betracht gezogen werden, während dessen er wahrscheinlich vorgelegen hat.

Die auf diese Weise hergeleitete Einstufung des potenziellen Ereignisses sollte dann entsprechend der Wahrscheinlichkeit, dass der Fehler zu einem Komponentenversagen geführt hätte, und unter Berücksichtigung der in Abschnitt 5.2 angesprochenen zusätzlichen Faktoren angepasst werden.

5.1.6 Ereignisse unterhalb der Skala/Stufe 0

Im Allgemeinen sollten Ereignisse nur dann als unterhalb der Skala bzw. Stufe 0 klassifiziert werden, wenn die Anwendung der oben beschriebenen Vorgehensweise nicht zu einer höheren Bewertung führt. Setzt man jedoch voraus, dass keiner der in Abschnitt 5.2 erläuterten zusätzlichen Faktoren von Bedeutung ist, so sind die nachfolgend aufgeführten Ereignisse typisch für Ereignisse, die unterhalb der Skala bzw. als Stufe 0 einzuordnen sind:

–

Reaktorschnellabschaltung ohne weitere Störungen.

–

Fehlanregung von Sicherheitssystemen mit normaler Rückkehr zum Betrieb, sofern keine Auswirkungen auf die Sicherheit der Anlage eingetreten sind.¹⁸

–

Kühlmittelleckagen mit einer Leckrate unterhalb der Grenzwerte der Sicherheitsspezifikation.

–

Einzelfehler oder Nichtverfügbarkeit einer Komponente in einem redundanten System, welche bei einer vorgesehenen wiederkehrenden Prüfung bzw. Inspektion erkannt werden.

5.2 Berücksichtigung zusätzlicher Faktoren

Bestimmte Einflüsse können gleichzeitig verschiedene Einrichtungen/Maßnahmen der gestaffelten Sicherheitsvorkehrungen beeinträchtigen. Bei der Bewertung sind diese daher als zusätzliche Faktoren einzubeziehen, die rechtfertigen können, dass ein Ereignis eine Stufe höher als die Basiseinstufung eingestuft wird.

Wesentliche Faktoren, die zu einer Höherstufung führen können, sind:

–

Ausfälle aus gemeinsamer Ursache (Common-Cause-Fehler),

–

Mängel in Betriebsvorschriften,

–

Mängel in der Sicherheitskultur.

Aufgrund einer Höherstufung kann ein Ereignis in Stufe 1 eingeordnet werden, obwohl es ohne Berücksichtigung der zusätzlichen Faktoren ohne sicherheitstechnische bzw. mit sehr geringer sicherheitstechnischer Bedeutung wäre.

Wird die Höherstufung eines Ereignisses aufgrund der zusätzlichen Faktoren in Erwägung gezogen, sind die folgenden Gesichtspunkte zu berücksichtigen:

(1)

Die Basiseinstufung kann nur um eine Stufe angehoben werden. Dies gilt auch, wenn mehrere der zusätzlichen Faktoren zutreffen sollten.

(2)

Einige der oben genannten zusätzlichen Faktoren sind möglicherweise bereits in die Festlegung der Basiseinstufung eingeflossen, z. B. ein Ausfall mehrerer Redundanzen aus gemeinsamer Ursache (siehe Beispiel 35). Daher ist es wichtig, die zusätzlichen Faktoren nicht mehrfach bei der Bewertung zu berücksichtigen.

(3)

Die höchste Stufe, die unter dem Aspekt „Beeinträchtigung der gestaffelten Sicherheitsvorkehrungen“ erreicht werden kann, ist Stufe 3. Diese Höchstgrenze sollte nur auf solche Situationen angewendet werden, bei denen ein weiteres Ereignis (sei es ein zu erwartendes auslösendes Ereignis oder ein weiterer Komponentenausfall) zu einem Unfall (nicht beherrschten Ereignis) führen würde.

5.2.1 Ausfälle aus gemeinsamer Ursache (Common-Cause-Fehler)

Unter einem Ausfall aus gemeinsamer Ursache wird der Ausfall mehrerer Einrichtungen (Komponenten, Systeme) aufgrund eines bestimmten einzelnen Ereignisses oder einer bestimmten einzelnen Ursache verstanden. Von besonderer Bedeutung sind Ausfälle aus gemeinsamer Ursache, die redundante Einrichtungen betreffen. Dies kann zur Folge haben, dass die Zuverlässigkeit der Sicherheitsfunktion erheblich kleiner ist, als in den Sicherheitsanalysen angenommen wurde. Die Bedeutung eines Ereignisses, bei dem ein Ausfall aus gemeinsamer Ursache die Funktion einer oder mehrerer Komponenten beeinträchtigt hat, ist somit grundsätzlich größer als die Bedeutung eines zufälligen Ausfalls der gleichen Komponenten.

Hätte bei einem Ereignis aufgrund fehlender oder irreführender Informationen eine verfügbare Sicherheitseinrichtung im Anforderungsfall nicht in Betrieb genommen werden können, kann dies ebenfalls als Ausfall aus gemeinsamer Ursache angesehen werden. Eine Höherstufung um eine Stufe sollte in solch einem Fall in Betracht gezogen werden.

5.2.2 Mängel in Betriebsvorschriften

Mängel in den Betriebsvorschriften können dazu führen, dass gleichzeitig mehrere Ebenen der gestaffelten Sicherheitsvorkehrungen betroffen sind. Derartige Unzulänglichkeiten in den Betriebsvorschriften sind deswegen ein weiterer möglicher Grund für eine Anhebung der Basiseinstufung.

Beispiele sind:

–

Falsche oder unzureichende Anweisungen nach denen das Betriebspersonal bei der Beherrschung eines Ereignisses vorzugehen hat. (Ein Beispiel hierfür zeigte sich während des Unfalls in Three Miles Island im Jahr 1979: Die Betriebsvorschriften, welche der Betriebsmannschaft für Ereignisse mit Auslösung der Sicherheitseinspeisung zur Verfügung standen, berücksichtigten nicht die speziellen Gegebenheiten bei kleinen Kühlmittelverluststörfällen im Bereich der Dampfphase des Druckhalters.)

–

Deutliche Hinweise auf Mängel im Instandhaltungsprogramm liegen z. B. vor, wenn Fehler oder Störungen auftreten, die mit den vorgesehenen Maßnahmen nicht erkannt wurden, oder wenn eine Nichtverfügbarkeit von Einrichtungen über eine erheblich längere Zeit vorlag, als nach dem zugehörigen Prüfintervall zu unterstellen ist.

5.2.3 Mängel in der Sicherheitskultur

Sicherheitskultur ist definiert als „die Summe der Eigenschaften und Haltungen in der Organisation und bei den einzelnen Personen der Anlage, durch die sichergestellt wird, dass Fragen, welche die Sicherheit der Anlage betreffen, als eine übergeordnete Priorität die Aufmerksamkeit erfahren, die sie aufgrund ihrer Bedeutung erfordern“. Eine richtig verstandene Sicherheitskultur hilft, Störungen und Störfälle zu vermeiden. Ein Mangel an Sicherheitskultur kann andererseits dazu führen, dass die Betriebsmannschaft auf eine Weise handelt, die nicht mit den Annahmen und Randbedingungen, die bei der Auslegung der Anlage zugrunde gelegt wurden, im Einklang steht. Die Sicherheitskultur ist daher als ein Teil des Systems von gestaffelten Sicherheitsvorkehrungen zu sehen. Dementsprechend kann ein Mangel an Sicherheitskultur die Höherstufung eines Vorkommnisses um eine Stufe rechtfertigen (Informationen zur Sicherheitskultur finden sich in u. a. INSAG 4 [7]).

Um eine Höherstufung aufgrund eines Mangels an Sicherheitskultur zu rechtfertigen, muss das entsprechende Ereignis einen konkreten Anhaltspunkt für einen übergreifenden Mangel in der Sicherheitskultur aufzeigen.

5.2.3.1 Verletzung von Grenzen oder Vorgaben der Sicherheitsspezifikation

Einer der am einfachsten definierbaren Indikatoren eines Mangels in der Sicherheitskultur ist eine Verletzung von Grenzen oder Vorgaben der Sicherheitsspezifikation.

Die Sicherheitsspezifikation legt die minimalen Anforderungen an die Verfügbarkeit der Sicherheitssysteme fest, bei deren Einhaltung der Betrieb der Anlage mit keinen nennenswerten Einschränkungen der Sicherheit der Anlage verbunden ist. Dies kann auch den Betrieb der Anlage mit eingeschränkter Verfügbarkeit der Sicherheitssysteme für einen begrenzten Zeitraum einschließen. Die Sicherheitsspezifikation ist Teil des Betriebshandbuches. Darüber hinaus sind im Betriebshandbuch die zu ergreifenden Maßnahmen für den Fall enthalten, dass die Sicherheitsspezifikation nicht eingehalten wird. Dies betrifft auch Zeiten, die für eine Rückführung in einen sicheren Zustand eingeräumt werden.

Wird z. B. bei einer Routineprüfung entdeckt, dass die Verfügbarkeit eines Sicherheitssystems unterhalb der Mindestanforderungen (Zeile B in den Tabellen 9 und 10) liegt, und überführt der Betreiber die Anlage in Übereinstimmung mit den für einen solchen Fall im Betriebshandbuch vorgesehen Maßnahmen in den sicheren Zustand, so sollte das Ereignis entsprechend den Abschnitten 5.1.3 und 5.1.4 eingestuft werden. Das Ereignis sollte aber nicht höhergestuft werden, da keine Verletzung der Sicherheitsspezifikation vorgelegen hat.

Falls die Verfügbarkeit eines Sicherheitssystems innerhalb der Mindestanforderungen liegt und der Betreiber die Anlage über den Zeitraum hinaus weiterbetreibt, der nach der Sicherheitsspezifikation zulässig ist, so liegt die Basiseinstufung bei Stufe 0. Dennoch ist das Ereignis wegen des Mangels in der Sicherheitskultur in Stufe 1 höherzustufen.

Gleichermaßen sollte für den Fall, dass das Betriebspersonal gezielt Maßnahmen ergreift, durch die die Verfügbarkeit von Sicherheitssystemen geringer ist als in den Anforderungen der Sicherheitsspezifikation gefordert, eine Höherstufung der Basiseinstufung des Ereignisses aufgrund von Mängeln in der Sicherheitskultur erwogen werden.

Im Betriebshandbuch sind zusätzlich zur Sicherheitsspezifikation weitere Vorgaben wie zum Beispiel Grenzwerte enthalten, die für die Langzeitsicherheit von Komponenten bedeutsam sind. Wird ein solcher Grenzwert nur für kurze Zeit überschritten, kann eine Einstufung des Ereignisses in Stufe 0 angemessener sein als Stufe 1.

5.2.3.2 Weitere Hinweise für Mängel in der Sicherheitskultur

Weitere Beispiele für Hinweise, welche einen Mangel in der Sicherheitskultur aufzeigen können, sind:

–

die Abweichung von einer Betriebsvorschrift ohne behördliche Erlaubnis/Zustimmung,

–

ein Mangel im Qualitätssicherungsprozess,

–

eine Häufung menschlicher Fehler,

–

eine Strahlenexposition einer Person der Bevölkerung über gesetzlich festgelegte Jahreshöchstgrenzwerte hinaus infolge eines einzelnen Ereignisses (siehe Kapitel 2),

–

die kumulierte Strahlenexposition einer beruflich strahlenexponierten Person oder einer Person der Bevölkerung über die gesetzliche Dosis-Jahreshöchstwerte hinaus (siehe Kapitel 2),

–

ein Ausfall der Maßnahmen zur Gewährleistung der ausreichenden Überwachung von radioaktiven Stoffen einschließlich ihrer Abgabe in die Umgebung, einer Ausbreitung oder Kontamination, oder ein Ausfall von Maßnahmen zur Dosisüberwachung,

–

das wiederholte Auftreten eines Ereignisses, welches aufzeigt, dass nach dem ersten Auftreten des Ereignisses weder die erforderlichen Schlussfolgerungen gezogen noch die entsprechenden Abhilfemaßnahmen ergriffen wurden.

Hier soll noch einmal darauf hingewiesen werden, dass es nicht die Absicht dieser Anleitung ist, einen langen und detaillierten Bewertungsprozess zu initiieren. Vielmehr sollen auf ihrer Grundlage die Personen, die mit der Einstufung des Ereignisses betraut sind, zu einer raschen Einschätzung kommen können. Oft ist es unmittelbar nach einem Ereignis schwierig zu bestimmen, ob das Ereignis aufgrund von Mängeln in der Sicherheitskultur höhergestuft werden sollte. In einem solchen Fall sollte auf der Grundlage des jeweils aktuellen Kenntnisstandes eine vorläufige Einstufung vorgenommen werden. Die endgültige Einstufung kann dann zusätzliche Informationen zur Sicherheitskultur, die sich aus einer eingehenden Untersuchung ergeben, mit berücksichtigen.

5.3 Anwendungsbeispiele

Beispiel 27. Reaktorschnellabschaltung nach Einfall von Steuerelementen – unterhalb der Skala/Stufe 0

Ereignisbeschreibung

Der Reaktor arbeitete im Volllastbetrieb. Während der wiederkehrenden Prüfung der Steuerelemente wurde ein Steuerelement (Bank A) eingefahren. Dabei kam es zu einer Reaktor- und Turbinenschnellabschaltung durch das Signal „schnelle Abnahme des Neutronenflusses im Leistungsbereich“.

Die Funktion des Steuerelementes wurde sofort anhand des Transientenrekorders überprüft. Dabei stellte sich heraus, dass die vier Steuerelemente der Bank A vor der Reaktorschnellabschaltung eingefallen waren.

Das Signal „schnelle Abnahme des Neutronenflusses im Leistungsbereich“ war als Schutz gegen ein Geräteversagen und nicht als Schutzaktion bei Auslegungsstörfällen vorgesehen.

Eine Untersuchung der Ansteuerung für den Antriebsmechanismus der Steuerelemente ergab, dass die Ursache für das Fehlverhalten eine defekte Elektronikkarte war.

Die fehlerhafte Karte wurde ausgetauscht. Nach der Prüfung des Steuerkreises wurde die Anlage wieder auf Volllast gefahren.

Erläuterung der Einstufung

Beispiel 28. Reaktorkühlmittelleckage beim Brennelementwechsel während des Leistungsbetriebs – Stufe 1

Ereignisbeschreibung

Während eines routinemäßigen Brennelementwechsels im Leistungsbetrieb kam es zu einer Kühlmittelleckage (schweres Wasser) von 1,4 t/h im Bereich einer der beiden Wechselmaschinen. Jede der beiden Wechselmaschinen ist horizon­tal auf einer Laufbrücke verfahrbar, die ihrerseits in vertikaler Richtung verfahrbar ist, um alle Positionen der horizontal angeordneten Brennelementkanäle erreichen zu können. Das Betriebspersonal stellte fest, dass sich die Laufbrücke der betroffenen Wechselmaschine um 40 cm gesenkt hatte, während die Wechselmaschine an einen Brennelementkanal angekuppelt war. Dadurch war eine Undichtheit zwischen Lademaschine und Brennelementkanal entstanden. Der Reaktor wurde daraufhin abgeschaltet und mit betrieblichen Systemen in den Nachkühlbetrieb überführt. Die Leckage betrug insgesamt 22 t (ca. 10 % des Gesamtkühlmittelinventars). Sicherheitsfunktionen wurden nicht angefordert. Eine Ausnahme bildete der Containmentabschluss, der nach einer Stunde durch hohe Aktivität angeregt wurde. Bei dem Ereignis kam es zu keiner unzulässigen Freisetzung von radioaktiven Stoffen in die Umgebung. Die Ursache des Problems war das Versagen einer Verriegelung, die im Rahmen des Überwachungsprogramms nicht geprüft worden war.

Erläuterung der Einstufung

Beispiel 29. Nichtverfügbarkeit des Containmentsprühsystems infolge fälschlich geschlossener Ventile – Stufe 1

Ereignisbeschreibung

Die Doppelblockanlage muss jährlich zur Durchführung von vorgeschriebenen wiederkehrenden Prüfungen des blockgemeinsamen Notkühlsystems und der zugehörigen Schutzaktionen abgeschaltet werden.

Diese Prüfungen finden normalerweise dann statt, wenn einer der beiden Blöcke zum Brennelementwechsel abgefahren ist.

Am 9. Oktober waren diese Prüfungen für die Blöcke 1 und 2 vorgesehen. Nach Durchführung der Prüfungen blieb Block 1 zum Brennelementwechsel im kalten abgefahrenen Zustand. Block 2 nahm den Leistungsbetrieb am 14. Oktober wieder auf. Während der monatlichen Prüfung sicherheitstechnisch wichtiger Ventile in Block 2 am 1. November wurde festgestellt, dass die vier Sicherheitsventile auf der Druckseite der Containmentsprühpumpen geschlossen waren. Es wurde gefolgert, dass diese Ventile, im Widerspruch zu den Prüfanweisungen, nach dem Test am 9. Oktober nicht wieder geöffnet worden waren.

Block 2 war demnach 18 Tage ohne verfügbares Containmentsprühsystem in Betrieb gewesen.

Als Ursache für das Ereignis wurde menschliches Versagen festgestellt. Jedoch wurde auch erkannt, dass der Fehler am Ende der Prüfungen eingetreten war, die (infolge einer Störungssuche) länger als üblich gedauert hatten. Außerdem zeigte sich, dass eine stärker formalisierte Meldung über den Abschluss der im Zusammenhang mit den Prüfungen durchgeführten Instandhaltungsarbeiten sehr hilfreich sein könnte.

Erläuterung der Einstufung

Beispiel 30. Primärkreisleckage über Berstscheiben des Druckhalterabblasebehälters – Stufe 1

Ereignisbeschreibung

Die Anlage befand sich im heiß unterkritischen Zustand. Der Reaktordruck betrug 159 bar. Das Nachwärmeabfuhrsystem war freigeschaltet und für Tests nach zuvor durchgeführten Änderungsarbeiten teilweise entleert. Das System stand deshalb nicht zur Verfügung.

In diesem Anlagenzustand wurde eine wiederkehrende Prüfung der Wirksamkeit des Druckhaltersprühsystems durchgeführt. Etwa um 16.00 Uhr wurde Alarm wegen hohem Druck im Druckhalterabblasebehälter ausgelöst. Das fallende Niveau des Volumenausgleichsbehälters wies auf eine Kühlmittelleckage von etwa 1,5 m³ pro Stunde hin. Ein Mitarbeiter versuchte, die Leckage innerhalb des Reaktorgebäudes zu lokalisieren. Man kam zu dem Schluss, dass es sich um eine Leckage am Rücksitz eines Ventils im Reaktorkühlsystem handeln müsste (Handventil in der Bypassleitung eines Temperaturfühlers). Es wurde versucht, die Dichtheit des Ventils durch Verfahren mittels Handrad in den Rücksitz herzustellen. Wie sich später zeigte, war eine Betätigung des Ventils mittels Handrad aber nicht möglich, da der Antrieb auf Fernbedienung geschaltet war. Dies wurde zunächst nicht bemerkt. Aus diesem Grund war das Ventil weiterhin undicht und die Leckage dauerte an.

Um 18.00 Uhr wurde Wartungspersonal herbeigerufen. Doch auch dieses fand die Ursache für die Leckage nicht. Währenddessen stiegen Druck und Temperatur im Druckhalterabblasebehälter weiter an. Durch Einspeisen von kaltem Kühlmittel in den Druckhalterabblasebehälter und Ableitung in den Anlagenentwässerungsbehälter hielt das Betriebspersonal die Temperatur im Druckhalterabblasebehälter unter 50 °C. Das in den Anlagenentwässerungsbehälter abgegebene Kühlmittel wurde mittels zweier Pumpen aus dem Reaktorgebäude gepumpt und der Kühlmittelaufbereitung zugeführt.

Etwa um 21.00 Uhr zeigten die Aktivitätsmessstellen einen Anstieg der Aktivität im Reaktorgebäude an. Um 21.56 Uhr wurde der Grenzwert für die Auslösung von Teilen des Durchdringungsabschlusses erreicht. Dadurch wurden Armaturen des nuklearen Lüftungs- und Entwässerungssystems innerhalb des Containments geschlossen, und das ausströmende Wasser konnte nicht länger zur Kühlmittelaufbereitung gefördert werden.

Der Druck im Druckhalterabblasebehälter stieg weiter an, bis um 22.22 Uhr die Berstscheiben ansprachen. Um die Temperatur im Druckhalterabblasebehälter auf etwa 50 °C zu halten, musste bis 23.36 Uhr Wasser nachgespeist werden. Um 1.45 Uhr des folgenden Tages fiel die Aktivität im Reaktorgebäude wieder auf einen Wert unterhalb des Grenzwertes für den Gebäudeabschluss.

Um 2.32 Uhr war der Druck im Reaktorkühlkreislauf auf 25 bar gefallen. Die Nachwärmeabfuhr erfolgte weiter über die Dampferzeuger, da das Nachkühlsystem zu diesem Zeitpunkt noch nicht verfügbar war.

Um 10.54 Uhr war das Nachkühlsystem wieder betriebsbereit, und um 11.45 Uhr wurde das undichte Ventil im Reaktorkühlkreislauf von Fernbedienung auf Handbetrieb umgestellt, um die Leckage durch das Verfahren der Armatur beenden zu können.

Erläuterung der Einstufung

Beispiel 31. Absturz eines Brennelements während des Brennelementwechsels – Stufe 1

Ereignisbeschreibung

Während des Brennelementwechsels kam es nach dem Anheben eines neuen Brennelementes aus einer Zelle im Brennelementlagerbecken spontan zum Abrutschen des Teleskopmastes der Brennelementwechselmaschine. Das Brennelement schlug auf das Führungsrohr der Wechselmaschine im Brennelementlager auf. Vorgesehene Verriegelungen funktionierten auslegungsgemäß und es traten weder Brennelementschäden noch Schäden an Hüllrohren auf.

Erläuterung der Einstufung

Beispiel 32. Fehlerhafte Kalibrierung der Detektoren zur Erfassung lokaler Überleistung – Stufe 1

Ereignisbeschreibung

Während einer routinemäßigen Kalibrierung der Detektoren zur Erfassung lokaler Überleistung für die Abschaltsysteme 1 und 2 wurde ein falscher Kalibrierungsfaktor verwendet. Der verwendete Kalibrierungsfaktor war derjenige für 96 % Leistung und nicht derjenige für 100 % Leistung. Dieser Kalibrierungsfehler wurde ungefähr sechs Stunden später entdeckt. Daraufhin wurden alle Detektoren für Volllastbetrieb neu kalibriert. Die Wirksamkeit des betroffenen Anregekriteriums für eine Reaktorschnellabschaltung war deshalb für ungefähr sechs Stunden für beide Abschaltsysteme eingeschränkt. Ein alternatives Anregekriterium war mit Redundanz während der gesamten Zeit verfügbar.

Erläuterung der Einstufung

Beispiel 33. Ausfall eines Stranges des Sicherheitssystems während einer routinemäßigen Prüfung – Stufe 1

Ereignisbeschreibung

Der Block befand sich im Volllastbetrieb. Während der routinemäßigen Überprüfung eines Dieselgenerators trat ein Versagen der Ansteuerung auf. Der Diesel wurde daraufhin für etwa sechs Stunden zur Reparatur freigeschaltet. Die technischen Spezifikationen fordern für den Fall, dass ein Diesel nicht zur Verfügung steht, die Überprüfung der beiden anderen Stränge des Sicherheitssystems. Diese Prüfung wurde nicht zur vorgeschriebenen Zeit durchgeführt. Später wurden dann die beiden anderen Stränge überprüft und deren volle Verfügbarkeit nachgewiesen.

Erläuterung der Einstufung

Beispiel 34. Unzureichender Überflutungsschutz bei möglichem Rohrleitungsversagen – Stufe 1

Ereignisbeschreibung

Bei einer behördlichen Prüfung stelle sich heraus, dass die Folgen einer internen Überflutung in der Auslegung nicht angemessen berücksichtigt worden waren.

Zwar existierte eine entsprechende Dokumentation, in der spezielle Überflutungsereignisse infolge postulierter Ausfälle von Komponenten berücksichtigt wurden, aber es war keine vollständige Analyse aller Überflutungsereignisse während der ursprünglichen Auslegung der Anlage oder danach durchgeführt worden.

Als Reaktion auf die unzureichende Anlagenauslegung wurden einige Änderungen durchgeführt, um die Beherrschung von potenziellen Überflutungsereignissen zu verbessern. Es war jedoch nicht klar, ob die Anlagenauslegung ausreichend Schutz vor den Folgen eines Versagens von betrieblichen Rohrleitungen im Maschinenhaus bot. Eine Überflutung des Maschinenhauses könnte dazu führen, dass Wasser in Räume mit sicherheitstechnischen Einrichtungen gelangt. Diese sind nicht durch dichte Türen vom Maschinenhaus getrennt. Die betroffenen Räume verfügen über ein gemeinsames Ablaufsystem im Boden. In diesen Räumen sind das Notspeisewassersystem, Notstromdieselgeneratoren sowie die beiden 480-V- und 4160-V-Schaltanlagen für die sicherheitstechnisch wichtigen Einrichtungen untergebracht.

Aufgrund der Prüfung wurden Auslegungs- und Genehmigungsgrundlagen für eine interne Überflutung erstellt und die seismische Qualifizierung ausgewählter Rohrleitungen und Komponenten durchgeführt. Konstruktive Änderungen zum Schutz von im fortgeschriebenen Sicherheitsbericht als Klasse 1 definierten Systemen und Komponenten wurden umgesetzt. Dies beinhaltete die Errichtung von Überflutungsbarrieren an Türen zu Räumen mit sicherheitstechnisch wichtigen Einrichtungen, den Einbau von Rückschlagklappen in ausgewählten Ablaufleitungen im Boden sowie die Installation von Schaltungen für den Stopp von Kühlwasserpumpen bei hohem Wasserstand im Untergeschoss des Maschinenhauses.

Erläuterung der Einstufung

Normalerweise sind Auslegungsdefizite, die im Rahmen von periodischen Sicherheitsüberprüfungen oder Laufzeitverlängerungsprogrammen entdeckt werden, nicht als Ereignisse zu betrachten, die nach der INES einzustufen sind. Fehler in der Analyse im Rahmen anderer Tätigkeiten können jedoch sehr wohl als Ereignisse gemeldet werden. In diesem Handbuch soll nicht festgelegt werden, welche Ereignisse den Behörden gemeldet werden. Vielmehr soll es als Anleitung dazu dienen, wie die Ereignisse, die den Behörden – und damit der Öffentlichkeit – mitgeteilt werden, einzustufen sind. Das vorliegende Ereignis wurde aufgenommen, um zu zeigen, wie solche Ereignisse eingestuft werden können.

Beispiel 35. Nichtzuschalten von zwei Notstromdieseln nach Ausfall der Netzanbindung – Stufe 2

Ereignisbeschreibung

Eine durch Fehler im Rahmen einer Instandhaltung verursachte Störung in der 400-kV-Schaltanlage führte zur Trennung der Anlage vom Hauptversorgungsnetz. Die Erregung der Generatoren führte zu einem Spannungsanstieg in den Generatorschienen auf etwa 120 %. Diese Überspannung führte zum Auslösen von zwei von vier Wechselrichtern in der unterbrechungslosen Stromversorgung. Nach etwa 30 Sekunden, während derer die Eigenbedarfsversorgung durch beide Turbogeneratoren ausfiel, verhinderte das Auslösen der Wechselrichter in der unterbrechungslosen Stromversorgung die Zuschaltung von zwei der vier Dieselgeneratoren auf die 500-V-Notstromschienen. Ca. 20 Minuten nach dem Ereignisbeginn wurden die 500-V-Notstromschienen in den betroffenen Abschnitten von Hand mit dem 6-kV-System verbunden, das von der Fremdnetzversorgung gespeist wird, wodurch alle elektrischen Einrichtungen wieder verfügbar waren. Die Schnellabschaltung des Reaktors verlief erfolgreich. Alle Steuerstäbe wurden erwartungsgemäß eingefahren. Durch die Auslösung des Reaktorschutzes öffneten zwei Sicherheits- und Entlastungsventile. Da kein zusätzlicher KMV aufgetreten war, waren die beiden verfügbaren der vier Stränge des Notkühlsystems völlig ausreichend für die Kernbedeckung. Während des Ereignisses hatte die Betriebsmannschaft Schwierigkeiten bei der Überwachung des Anlagenzustandes, da viele Signale und Anzeigen auf der Warte aufgrund des Stromausfalls in zwei Strängen ausgefallen waren. Nachfolgende Untersuchungen zeigten, dass die Überspannung an der Generatorschiene auch zum Ausfall aller vier unterbrechungslosen Stromversorgungsschienen hätte führen können.

Erläuterung der Einstufung

Das Ereignis zeigte ebenfalls, dass die Sicherheitssysteme bei einem Verlust der Netzanbindung und damit verbundener Überspannung störanfällig waren. Es ist daher auch auf der Grundlage dieser potentiellen Einschränkung der Verfügbarkeit einzustufen.

Beispiel 36. Ausfall der Zwangsumwälzung im Reaktorkühlkreislauf für 15 bis 20 Minuten – Stufe 2

Ereignisbeschreibung

Bei der betroffenen Anlage handelt es sich um einen gasgekühlten Reaktor. Ein Ausfall der Sicherung in einer der drei Phasen der Stromversorgung für die Instrumentierung des Reaktors führte nicht wie vorgesehen zur automatischen Umschaltung auf den zugeordneten Reserveumformer. Dadurch bestand die Unterbrechung der Phase fort, bis die manuelle Umschaltung der Stromversorgung erfolgte. Der Ausfall der Stromversorgung verursachte das Schließen der Speisewasserabsperrventile für den Hochdruck- und den Niederdruckteil eines Dampferzeugers, was zu einem Auslaufen des von diesem Dampferzeuger versorgten, dampfbetriebenen Kühlgasgebläses führte. Weiterhin fiel aufgrund der Störung ein Großteil der Überwachung und der automatischen Regelfunktionen der Dampferzeuger und des Reaktors aus. Ein manuelles Einfahren der Steuerelemente war möglich und wurde begonnen. Die Einfahrgeschwindigkeit reichte jedoch nicht aus, um einen Temperaturanstieg des Kühlgases zu verhindern. Dies führte zu einer automatischen Abschaltung des Reaktors über hohe Brennelementtemperatur (Anstieg um ungefähr 16 K). Für das Betriebspersonal stellte sich die Situation allerdings aufgrund der Ausfälle in der Instrumentierung so dar, als ob das Abschaltsystem nicht funktionsfähig wäre.

Die batteriegepufferte, sicherheitstechnisch wichtige Instrumentierung und das Reaktorschutzsystem blieben funktionsfähig, ebenso wie einige der betrieblichen Überwachungs- und Steuerungssysteme. Infolge der Reaktorabschaltung kam es zum Auslaufen aller Kühlgasgebläse (Dampfmangel an den Antriebsturbinen).

Aufgrund der Störung in der Stromversorgung erfolgte das für diesen Fall vorgesehene automatische Starten der Hilfsmotoren der Kühlgasgebläse nicht, noch konnten die Hilfsmotoren von Hand zugeschaltet werden.

Durch Handmaßnahmen wurde die Bespeisung der Niederdruckteile für die drei nicht betroffenen Dampferzeuger aufrechterhalten und für den betroffenen Dampferzeuger wieder hergestellt. Unmittelbar nach der auslösenden Transiente, die zum Abschalten des Reaktors führte, sanken die Brennelementtemperaturen ab. Sie stiegen aber wieder an, als die Zwangsumwälzung ausfiel, und stabilisierten sich anschließend im Naturumlauf bei einem Wert etwa 50 K unterhalb der normalen betrieblichen Werte. Die Temperaturen fielen erneut, als der Reserveumformer zugeschaltet wurde und die Gebläse mittels der Hilfsmotoren wieder in Betrieb genommen werden konnten. Der Reaktor wurde am folgenden Tag wieder angefahren.

Erläuterung der Einstufung

Beispiel 37. Kleines Leck im Primärkreislauf – Stufe 2

Ereignisbeschreibung

Ein sehr keines Leck (das nur durch Feuchtigkeitsmessungen entdeckt wurde) wurde im nicht absperrbaren Bereich einer Sicherheitseinspeiseleitung festgestellt. Als Ursache wurden Schäden ermittelt, die im Prüfprogramm nicht erwartet worden waren (der Bereich wurde nicht vom Prüfprogramm erfasst). Ähnliche Schäden, jedoch mit geringerem Ausmaß, lagen auch in den anderen Sicherheitseispeiseleitungen vor.

Erläuterung der Einstufung

Beispiel 38. Teilweises Blockieren des Kühlwassereinlaufs bei kalter Witterung – Stufe 3

Ereignisbeschreibung

Die Anlage besteht aus zwei gasgekühlten Reaktoren. Beide Blöcke besitzen eine gemeinsame Notstromversorgung in Form von vier Hilfsturbogeneratoren. Das vorliegende Ereignis betraf beide Blöcke. In beiden Blöcken traten Störungen auf, die auf die zum Ereigniszeitpunkt herrschende kalte Witterung zurückzuführen waren.

Im Block 1 kam es durch massive Eisbildung zum Blockieren des Kühlwassereinlaufes mit der Folge eines Vakuumverlustes in den Kondensatoren. Die Verstopfung erfolgte unter der Wasseroberfläche und war von außen nicht sichtbar. Eine eindeutige Meldung, die den Niveauabfall vor den Pumpen hätte signalisieren können, gab es nicht.

Der Vakuumverlust betraf sowohl die Kondensatoren der Turbogebläse des Blockes 1 als auch die Kondensatoren der blockgemeinsamen Hilfsturbogeneratoren der Notstromversorgung. Die zu den Hilfsturbogeneratoren gehörenden Notstromschienen wurden aufgrund der Störung automatisch auf Netzversorgung umgeschaltet. Während dieser Zeit kam es weiter zum Abschalten der beiden Hauptturbosätze und – aufgrund eines Fehlsignals – zum Einfall aller Steuerelemente des Blockes 1, wodurch die Anlage abgeschaltet wurde. Die Stromversorgung des Blockes 1 erfolgte aus dem Hauptnetz.

Der Block 2 verblieb während dieser Zeit im Leistungsbetrieb. Etwa zwei Stunden später erfolgte ein Spannungseinbruch im Netz als Folge der Abschaltung eines in der Nähe befindlichen konventionellen Kraftwerkes. Durch den Spannungseinbruch wurde der Generatorschutz des Blockes 2 angeregt. Das Abfangen des Blockes auf Eigenbedarf misslang, was die Reaktorschnellabschaltung und die Trennung vom Netz zur Folge hatte.

Da vorher zwei der vier Hilfsturbogeneratoren wieder in Betrieb genommen werden konnten, war es trotz Ausfalls der Netzversorgung möglich, die Nachwärmeabfuhr mit zwei der vier Kühlgasgebläse sicherzustellen. Die Netzanbindungen von Block 2 wurden nach 10 bzw. 26 Minuten wiederhergestellt, woraufhin auch die beiden anderen Kühlgasgebläse wieder in Betrieb gehen konnten.

Erläuterung der Einstufung

Beispiel 39. Reaktorschnellabschaltung durch Störung im Versorgungsnetz nach einem Tornado – Stufe 3

Ereignisbeschreibung

Infolge eines Tornados wurden Freileitungen beschädigt. Die Anlage wurde daraufhin durch den Reaktorschutz abgeschaltet, da starke Frequenzschwankungen im Versorgungsnetz auftraten.

Der Fremdnetztransformator hielt die Stromversorgung der Anlage aufrecht. Der Druck im Frischdampfsammler wurde innerhalb zulässiger Werte gehalten und die Nachwärme abgeführt. Die Kernkühlung war durch Naturumlauf gewährleistet.

Durch einen Spannungsabfall stand zwar das Signal zum Start der Notstromdiesel an, aber diese schalteten sich nicht auf die Notstromschienen. Da das Signal für den Start der Diesel weiterhin anstand, kam es immer wieder zu Startversuchen. Schließlich scheiterten die Dieselstarts an der fehlenden Startluft.

Vier Stunden nach der Schnellabschaltung trat ein völliger Stromausfall auf, der 30 Minuten andauerte. Während der gesamten Transiente wurde der Zustand des Kerns kontinuierlich mit Hilfe der Instrumentierung überwacht.

Erläuterung der Einstufung

Beispiel 40. „Station Blackout“ durch Brand im Maschinenhaus – Stufe 3

Ereignisbeschreibung

Im Maschinenhaus brach ein Brand aus. Der schwerwassermoderierte Druckröhrenreaktor wurde von Hand abgeschaltet und das Abfahren des Reaktors eingeleitet.

Durch den Brand wurden viele Kabel und andere elektrische Einrichtungen beschädigt, was zu einem Totalausfall der gesamten nicht gesicherten Wechselstromversorgung führte. Die Nachzerfallswärme des Kerns wurde durch Naturumlauf abgeführt. Mit Hilfe von Diesel betriebenen Feuerlöschpumpen wurde Wasser in die Sekundärseite der Dampferzeuger gespeist. Dem Moderator wurde boriertes Schwerwasser hinzugefügt, um den Reaktor jederzeit in einem unterkritischen Zustand zu halten.

Erläuterung der Einstufung

Dieses Kapitel behandelt Ereignisse, bei denen es keine „tatsächlichen“ Auswirkungen gibt, obwohl Sicherheitsvorkehrungen versagt haben. Diese mehrfachen Vorkehrungen oder Barrieren werden als gestaffelte Sicherheitsvorkehrungen des sog. „in die Tiefe gestaffelten Sicherheitskonzeptes“ (englisch „defense in-depth“) bezeichnet.

Die Anleitung zur Bewertung in diesem Abschnitt bezieht sich auf Ereignisse in

–

Anlagen des Kernbrennstoffkreislaufs,

–

Forschungsreaktoren,

–

Beschleunigern (z. B. Linearbeschleuniger und Zyklotrone)

sowie auf Ereignisse im Zusammenhang mit einem Versagen von Sicherheitsvorkehrungen

–

in Einrichtungen für die Herstellung und den Vertrieb von Radionukliden oder

–

bei der Verwendung von Strahlenquellen der Kategorie 1.

Weiterhin deckt sie auch Ereignisse in Leistungsreaktoren ab. Während Abschnitt 5 eine Anleitung zur Bewertung von Ereignissen in Leistungsreaktoren während des Leistungsbetriebs enthält, bietet der vorliegende Abschnitt eine Anleitung zur Bewertung von Ereignissen

–

bei abgeschaltetem Reaktor und

–

bei Reaktoren, die sich in der Stilllegung befinden – ob mit oder ohne Brennstoff in der Anlage – sowie

–

an Kernkraftwerksstandorten z. B. in Verbindung mit Abfalllager- oder Instandhaltungseinrichtungen.

Die Bewertung basiert auf dem sogenannter „Sicherheitsbarrieren-Ansatz“ (englisch „Safety-Layer-Ansatz“).

In allen Einrichtungen, in denen radioaktive Stoffe gehandhabt werden, sind gestaffelte Sicherheitsvorkehrungen vorhanden, z. B. Verriegelungen, Kühlsysteme und physische Barrieren. Sie dienen dem Schutz der Bevölkerung und der Mitarbeiter. Die Sicherheitsvorkehrungen umfassen Einrichtungen und Maßnahmen, damit radioaktive Stoffe

–

nicht in unzureichend abgeschirmte Bereiche gelangen bzw.

–

nicht freigesetzt werden.

Das Konzept der gestaffelten Sicherheitsvorkehrungen kann hier nicht im Einzelnen erläutert werden, in Annex I findet sich hierzu zusätzliches Hintergrundmaterial.

Dieses Kapitel des Handbuchs ist in vier Hauptabschnitte unterteilt. Im ersten Abschnitt sind die allgemeinen Grundsätze für die Einstufung von Ereignissen unter Berücksichtigung der Sicherheitsvorkehrungen aufgeführt, die eine große Bandbreite von Anlagentypen und Ereignisarten abdecken müssen. Um ihre einheitliche Anwendung zu gewährleisten, bietet Abschnitt 6.2 eine detailliertere Anleitung zur Einstufung einschließlich einer möglichen Höherstufung von Ereignissen. Abschnitt 6.3 enthält genauere Anleitungen für einige ausgewählte Ereignistypen. In Abschnitt 6.4 ist eine Reihe von Beispielen aufgeführt.

6.1 Allgemeine Grundsätze für die Einstufung von Ereignissen

Die maximal möglichen Auswirkungen für einige Anlagen oder Tätigkeiten sind auch bei Versagen aller Sicherheitsvorkehrungen durch das Inventar an radioaktiven Stoffen und die Freisetzungsmechanismen begrenzt. Es ist daher nicht angemessen, Ereignisse im Zusammenhang mit der Beeinträchtigung der gestaffelten Sicherheitsvorkehrungen für solche Anlagen oder Tätigkeiten auf der höchsten Stufe für diesen Bewertungsaspekt (Stufe 3) einzustufen. Können die maximal möglichen Auswirkungen für eine bestimmte Anlage oder Tätigkeit die Stufe 5 der Bewertungsskala nicht erreichen, so kann bei einem Versagen von Sicherheitsvorkehrungen maximal die Stufe 2 erreicht werden. Analog dazu liegt die Maximaleinstufung bei Stufe 1, wenn die maximal möglichen Auswirkungen nicht höher als auf Stufe 2 der Bewertungsskala eingeordnet werden können.

In einer einzelnen Anlage können mehrere Tätigkeiten durchgeführt werden. Jede Tätigkeit ist in diesem Zusammenhang separat zu betrachten. So sollten z. B. die Abfalllagerung und -verarbeitung als separate Tätigkeiten angesehen werden, selbst wenn sie in ein und derselben Anlage durchgeführt werden können.

Nach Festlegung der Obergrenze für die Einstufung muss betrachtet werden, welche Sicherheitsvorkehrungen noch verfügbar sind (d. h. welche zusätzlichen Sicherheitsvorkehrungen noch versagen müssten, damit die maximal mög­lichen Auswirkungen eintreten könnten). Dies umfasst neben der Berücksichtigung von Systemen und Komponenten auch administrative Maßnahmen für die Vermeidung, Beherrschung und Minderung von Auswirkungen und schließt passive sowie aktive Barrieren mit ein.

Die Bewertung basiert auf der Einschätzung der Wahrscheinlichkeit, dass das Ereignis zu einem Unfall hätte führen können. Diese Einschätzung wird nicht durch direkte Anwendung probabilistischer Methoden vorgenommen, sondern anhand der Anzahl der verbliebenen Sicherheitsvorkehrungen, die einen Unfall verhindert haben. Auf diese Weise wird unter Berücksichtigung der maximal möglichen Auswirkungen und der Anzahl und Wirksamkeit der verfügbaren Sicherheitsvorkehrungen eine „Grundeinstufung“ festgelegt.

Wie in Abschnitt 5.2 ausführlich beschrieben, kann bei Berücksichtigung „zusätzlicher Faktoren“ eine Anhebung der „Grundeinstufung“ in Betracht gezogen werden. Diese Höherstufung bewertet jene Aspekte des Ereignisses, die auf grundlegende Mängel in der Anlage selbst oder Mängel in den organisatorischen Vorkehrungen der Anlage hindeuten. Die zu berücksichtigenden Faktoren sind hierbei

–

Ausfälle aus gemeinsamer Ursache (Common-Cause-Fehler),

–

Mängel in Betriebsvorschriften sowie

–

Mängel in der Sicherheitskultur.

Solche Faktoren, soweit sie nicht in der Grundeinstufung bereits berücksichtigt sind, können darauf hinweisen, dass die Bedeutung des Ereignisses höher ist, als durch die Grundeinstufung bewertet. Dementsprechend kann bei solchen Ereignissen die Höherstufung um eine Stufe in Betracht gezogen werden, um der Öffentlichkeit die reale Bedeutung des Ereignisses zu kommunizieren.

Die Einstufung eines Ereignisses erfolgt nach folgenden Schritten:

(1)

Die Obergrenze für die Einstufung nach den gestaffelten Sicherheitsvorkehrungen sollte unter Berücksichtigung der maximal möglichen radiologischen Auswirkungen festgelegt werden (d. h. die maximal mögliche Einstufung für die Tätigkeiten in der betreffenden Anlage auf der Grundlage der Kriterien in den Kapiteln 2 und 3). Eine weitere Anleitung bezüglich der Festlegung der maximal möglichen Auswirkungen findet sich in Abschnitt 6.2.1.

(2)

Die Grundeinstufung sollte dann unter Berücksichtigung der Anzahl und der Wirksamkeit der verfügbaren Sicherheitsvorkehrungen (Einrichtungen und Maßnahmen) vorgenommen werden. Bei der Identifizierung der Anzahl und der Wirksamkeit solcher Vorkehrungen muss auch die zur Verfügung stehende Zeit im Verhältnis zu der Zeit, die für die Identifizierung und die Umsetzung angemessener Abhilfemaßnahmen benötigt wird, berücksichtigt werden. Eine detaillierte Anleitung zur Bewertung der Sicherheitsvorkehrungen findet sich in Abschnitt 6.2.2.

(3)

Die endgültige Einstufung erfolgt unter Berücksichtigung der zusätzlichen Faktoren, wie in Abschnitt 6.2.4 erläutert. Dadurch kann gegebenenfalls die Grundeinstufung um eine Stufe erhöht werden. Die endgültige Einstufung darf jedoch die unter Nummer 1 festgelegte Obergrenze der Einstufung nicht überschreiten.

Selbstverständlich sind bei jedem Ereignis neben der Berücksichtigung hinsichtlich der gestaffelten Sicherheitsvorkehrungen auch die Bewertungsaspekte aus den Kapiteln 2 und 3 in Betracht zu ziehen.

6.2 Detaillierte Anleitung für die Einstufung

6.2.1 Identifizierung der maximal möglichen Auswirkungen

Wie bereits weiter oben angemerkt, variieren die Inventare radioaktiver Stoffe und die Zeiträume für die Durchführung notwendiger Abhilfemaßnahmen in den Anlagen und Einrichtungen erheblich. Der Einstufungsprozess sieht drei Kategorien maximal möglicher Auswirkungen vor: Stufen 5 bis 7, Stufen 3 bis 4 und Stufen 1 bis 2.

Bei der Abschätzung der INES-Stufe für die maximal möglichen Auswirkungen sollten folgende allgemeine Grundsätze berücksichtigt werden:

–

Jeder Standort kann mehrere Anlagen oder Einrichtungen umfassen, wobei in jeder Anlage oder Einrichtung viele verschiedene Tätigkeiten durchgeführt werden können. Somit sollte die maximal mögliche Einstufung spezifisch für jede Anlage oder Einrichtung, in der das Ereignis aufgetreten ist, sowie für die Art der Tätigkeiten, die zum Zeitpunkt des Ereignisses durchgeführt wurden, vorgenommen werden. Die maximal möglichen Auswirkungen sind jedoch aufgrund aller in Frage kommenden Tätigkeiten dieser Anlage oder Einrichtung zu bestimmen.

–

Notwendigerweise zu berücksichtigen sind sowohl das radioaktive Inventar, das potenziell bei dem Ereignis betroffen sein könnte, die physikalischen und chemischen Eigenschaften des betreffenden Materials sowie die Mechanismen für eine mögliche Ausbreitung der Aktivität.

–

Die Betrachtung sollte sich nicht allein auf die im Sicherheitsnachweis der Anlage oder Einrichtung berücksichtigten Szenarien konzentrieren, sondern auch mögliche Unfallabläufe in Betracht ziehen, die sich ereignet hätten, wenn alle Sicherheitsbarrieren im Zusammenhang mit dem Ereignis versagt hätten.

–

Bei der Berücksichtigung der Auswirkungen für strahlenexponiertes Personal sollten die maximal mögliche Auswirkungen generell auf der Strahlenexposition einer einzelnen Person basieren, da es unwahrscheinlich ist, dass mehrere strahlenexponierte Personen bei einem Ereignis der maximal anzunehmenden Dosis ausgesetzt sind.

Diese Grundsätze können anhand der folgenden Beispiele veranschaulicht werden:

(1)

Bei Ereignissen im Zusammenhang mit Eingangsschleusen zu Heißen Zellen werden die maximal möglichen Auswirkungen wahrscheinlich durch eine unerwartete Strahlenexposition von Personal auftreten. Ist das Strahlungsniveau ausreichend hoch, um bei Betreten der Zelle deterministische Strahlenschäden oder den Tod zu bewirken und werden keine schadensmindernden Maßnahmen ergriffen, erfolgt eine Einstufung der maximal möglichen Auswirkungen in Stufe 3 oder Stufe 4 (nach den in Abschnitt 2.3 angegebenen Kriterien für die Individualdosis).

(2)

Bei Ereignissen in kleinen Forschungsreaktoren (Leistung etwa 1 MW oder weniger) ist das Gesamtinventar trotz des Vorhandenseins der physikalischen Möglichkeit für die Freisetzung eines bedeutsamen Anteils des Inventars (entweder durch Kritikalitätsereignisse oder durch den Ausfall der Brennstoffkühlung) derart gering, dass die maximal möglichen Auswirkungen selbst bei einem Versagen aller Sicherheitsvorkehrungen nicht höher als in Stufe 4 eingestuft werden können.

(3)

Bei Ereignissen in abgeschalteten Leistungsreaktoren sind das Inventar und die physikalische Möglichkeit einer Freisetzung bedeutsamer Anteile dieses Inventars (durch Ausfall der Kühlung oder durch Kritikalitätsereignisse) derart, dass die Einstufung der maximal möglichen Auswirkungen Stufe 4 überschreiten könnte, falls alle Sicherheitsvorkehrungen versagen.

(4)

Bei Wiederaufarbeitungsanlagen und anderen Anlagen, in denen Plutoniumverbindungen verarbeitet werden, sind das Inventar und die physikalische Möglichkeit für eine Freisetzung bedeutsamer Anteile dieses Inventars (entweder durch Kritikalitätsereignisse, chemische Explosionen oder Brände) derart, dass die Einstufung der maximal mög­lichen Auswirkungen Stufe 4 überschreiten könnte, falls alle Sicherheitsvorkehrungen versagen.

(5)

Bei Einrichtungen zur Herstellung von Uranbrennstoff sowie bei Anlagen zu dessen Anreicherung können bei Freisetzungen chemische und strahlenschutztechnische Aspekte eine Rolle spielen. Hier ist hervorzuheben, dass die chemische Gefährdung, die von der Giftigkeit des Fluors und des Urans ausgeht, die radiologische Gefährdung überwiegt. INES bezieht sich jedoch allein auf die Bewertung der radiologischen Gefährdung. Deshalb sind im Zusammenhang mit einer Freisetzung von Uran oder dessen Verbindungen keine schwerwiegenden Auswirkungen jenseits Stufe 4 zu besorgen.

(6)

Bei Ereignissen im Zusammenhang mit Beschleunigern werden die maximal möglichen Auswirkungen in den meisten Fällen durch eine unerwartete Strahlenexposition einzelner Personen auftreten. Ist das Strahlungsniveau ausreichend hoch, um bei Betreten von Sperrbereichen deterministische Strahlenschäden oder den Tod zu bewirken, erfolgt eine Einstufung der maximal möglichen Auswirkungen in Stufe 3 oder Stufe 4 (nach den in Abschnitt 2.3 angegebenen Kriterien für die Individualdosis).

(7)

Bei Ereignissen im Zusammenhang mit Bestrahlungseinrichtungen werden die maximal möglichen Auswirkungen wahrscheinlich durch eine unerwartete Strahlenexposition auftreten. Ist im Falle eines Versagens aller Schutzmaßnahmen das Strahlungsniveau ausreichend hoch, um deterministische Strahlenschäden oder den Tod zu bewirken, erfolgt eine Einstufung der maximal möglichen Auswirkungen in Stufe 3 oder Stufe 4 (nach den in Abschnitt 2.3 angegebenen Kriterien für die Individualdosis). Bei Ereignissen in Einrichtungen mit Strahlenquellen der Kategorie 1, in denen Sicherheitssysteme zur Verhinderung einer Freisetzung radioaktiver Stoffe vorgesehen sind (z. B. Brandschutzsysteme), kann die Freisetzung so groß sein, dass sich eine Einstufung der maximal möglichen Auswirkungen in Stufe 5 ergibt.

6.2.2 Identifizierung der Anzahl von Sicherheitsbarrieren

6.2.2.1 Identifizierung von Sicherheitsbarrieren

In den verschiedenen Anlagen und Einrichtungen, die in diesem Abschnitt betrachtet werden, kommt eine große Anzahl verschiedenartiger Sicherheitsvorkehrungen zum Einsatz. Einige von diesen können permanente physische Barrieren sein, andere sind aktive sicherheitstechnische Systeme wie z. B. Kühl- oder Einspeisesysteme. Auch administrative Überwachungsmaßnahmen oder Handlungen des Betriebspersonals als Reaktion auf einen Alarm können Sicherheitsvorkehrungen bilden. Die Methodik für die Einstufung von Ereignissen bei einer solch großen Bandbreite von Sicherheitsvorkehrungen besteht darin, diese in redundante und unabhängige Sicherheitsbarrieren aufzuteilen. So werden zwei Signale, die mit einer Verriegelung miteinander verknüpft sind, zusammen (d. h. beide Signale und die Verriegelung) als eine Sicherheitsbarriere betrachtet. Wird andererseits z. B. die Kühlung durch zwei redundante 100 %-Kühlmittelpumpen sichergestellt, so sollten diese als zwei getrennte Sicherheitsbarrieren betrachtet werden, sofern sie nicht über ein gemeinsames, nicht redundantes Hilfssystem verfügen.

Bei der Bestimmung der Anzahl von Sicherheitsbarrieren muss betrachtet werden, ob die Wirksamkeit von vorhandenen Systemfunktionen nicht durch ein gemeinsames Hilfssystem oder eine Handlung des Betriebspersonals als Reaktion auf einen Alarm oder eine Anzeige gemindert wird. In solchen Fällen kann es nur eine wirksame Sicherheitsbarriere geben, auch wenn mehrere Systeme vorhanden sind.

Bei Berücksichtigung von administrativen Überwachungsmaßnahmen als Sicherheitsbarriere muss geprüft werden, welche Vorschriften als unabhängig voneinander angesehen werden können und ob diese ausreichend zuverlässig sind. Die verfügbare Zeit hat einen bedeutenden Einfluss auf die Zuverlässigkeit von menschlichen Handlungen.

Sicherheitsbarrieren können Überwachungsmaßnahmen beinhalten, wobei jedoch berücksichtigt werden sollte, dass Überwachungsmaßnahmen allein keine Sicherheitsbarriere darstellen. Es müssen auch z. B. Alarme, Anzeigen sowie entsprechende Prozeduren vorhanden sein, um die notwendigen Maßnahmen manuell einzuleiten oder gegebenenfalls Korrekturmaßnahmen ergreifen zu können.

Es ist schwierig, eine genauere Anleitung zur Bewertung von Sicherheitsbarrieren zu geben, letztendlich ist das eigene Ermessen ausschlaggebend. Generell sollte von einer Sicherheitsbarriere eine Versagenswahrscheinlichkeit von etwa 10^–2 pro Anforderung erwartet werden. Die folgende Auflistung enthält einige Beispiele von Sicherheitsbarrieren, die je nach den Umständen des Ereignisses, der Auslegung und den Betriebsvorschriften als unabhängig voneinander angesehen werden können:

–

elektronische Personendosimeter mit Alarmfunktion – vorausgesetzt, das Personal ist in ihrem Umgang geschult, die Dosimeter sind zuverlässig und das Personal kann angemessen und schnell genug reagieren;

–

installierte Messgeräte mit Alarmfunktion zur Erkennung von Direktstrahlung und/oder luftgetragener Aktivität – vorausgesetzt, dass diese nachweislich zuverlässig sind und das Personal angemessen und schnell genug reagieren kann;

–

Anwesenheit eines Strahlenschutztechnikers zur Erkennung erhöhter Strahlung oder von Kontaminationen sowie zur entsprechenden Alarmierung anderer;

–

Vorkehrungen zur Leckageerkennung, z. B. eine geeignete Instrumentierungen bzw. Alarmvorrichtung zur Niveaumessung im Reaktorsumpf;

–

Überwachung durch das Betriebspersonal zur Gewährleistung des sicheren Zustands der Anlage, vorausgesetzt, die Anzeigen und die Überwachungsdichte sind für eine Identifizierung von betrieblichen Störungen geeignet und Abhilfemaßnahmen sind vorgesehen und werden zuverlässig durchgeführt;

–

Lüftungssysteme, welche luftgetragene Aktivität sicher und kontrolliert durch die Anlage leiten;

–

abgeschirmte Türen und Schleusenzugangssysteme;

–

passive Kühlung/Belüftung wie z. B. Naturzug;

–

Maßnahmen, Anweisungen oder Prozeduren, die zur Verringerung von Auswirkungen vorgesehen sind;

–

diversitäre Systeme, vorausgesetzt, es gibt keine gemeinsame Versorgung oder Steuerung;

–

redundante Systeme einschließlich der Hilfssysteme;

–

Inertgassysteme als Mittel zur Minderung von Wasserstoffbildung z. B. in Lagereinrichtungen für radioaktive Abfälle.

6.2.2.2 Einschluss von radioaktiven Stoffen

In einigen Situationen bildet der Sicherheitseinschluss (z. B. Druckraumsystem) selbst eine oder mehrere Sicherheitsbarrieren. Wie in Abschnitt 6.2.1 erläutert sieht der Einstufungsprozess vor, dass die maximal möglichen Auswirkungen einer von drei Kategorien, nämlich Stufe 5 bis 7, Stufe 3 bis 4 und Stufe 1 bis 2, zugeordnet werden. Sollte der erfolgreiche Betrieb des Sicherheitseinschlusses nach einem Versagen der anderen Sicherheitsvorkehrungen zu einer Verringerung der maximal möglichen Auswirkungen führen, so dass diese einer niedrigeren Kategorie der maximal möglichen Auswirkungen zugeordnet werden können, dann sollte der Sicherheitseinschluss als Sicherheitsbarriere betrachtet werden. Ist jedoch die Wirkung des Sicherheitseinschlusses nicht ausreichend, um zu einer Änderung der Kategorie der maximal möglichen Auswirkungen zu führen, dann sollte der Sicherheitseinschluss nicht als zusätzliche Sicherheitsbarriere zählen. Für einen kleinen Forschungsreaktor zum Beispiel liegen die maximal möglichen Auswirkungen bei Stufe 4, ausgehend von einem Schmelzen des Kernbrennstoffs und einer maximalen Freisetzung. Der erfolgreiche Betrieb eines Sicherheitseinschlusses würde hier zu keiner Änderung der Kategorie der maximal möglichen Freisetzung führen, da das Schmelzen des Kernbrennstoffes bereits zur Einstufung in Stufe 4 führt. Deshalb würde der Sicherheitseinschluss in diesem Falle nicht als zusätzliche Sicherheitsbarriere gelten. Andererseits werden in den Beispielen 52 und 55 Situationen beschrieben, in denen eine Berücksichtigung des Sicherheitseinschlusses als Sicherheitsbarriere angebracht ist.

6.2.2.3 Sicherheitsbarriere mit hoher Integrität

In einigen Situationen kann eine Sicherheitsbarriere mit hoher Integrität verfügbar sein (z. B. ein Reaktordruckbehälter oder eine Sicherheitsvorkehrung, die auf passiv wirkenden physikalischen Phänomenen beruht, wie z. B. Konvektionskühlung). Da die Sicherheitsbarriere nachweislich eine extrem hohe Integrität oder Zuverlässigkeit aufweist, wäre es in solchen Fällen eindeutig unangemessen, solch eine Sicherheitsbarriere bei der Anwendung dieser Anleitung wie eine weniger zuverlässige Sicherheitsbarriere zu behandeln.

Eine Sicherheitsbarriere mit hoher Integrität sollte über jedes der folgenden Merkmale verfügen:

–

Die Sicherheitsbarriere ist dafür ausgelegt, in allen relevanten Störfällen wirksam zu sein und wird explizit oder implizit im Sicherheitsnachweis der Anlage als Barriere mit einer besonders hohen Zuverlässigkeit oder Integrität aufgeführt.

–

Durch geeignete Überwachungen oder Prüfungen wird eine Beeinträchtigung der Sicherheitsbarriere rechtzeitig bemerkt.

–

Im Falle einer Beeinträchtigung der Sicherheitsbarriere existieren Prozeduren für vorgesehene Maßnahmen oder es steht ausreichend Zeit für Reparaturen oder Maßnahmen zur Begrenzung der Auswirkungen zur Verfügung.

Als Beispiele für Sicherheitsbarrieren mit hoher Integrität können ein Gefäß oder eine Kammer dienen, die zum Einschluss radioaktiver Stoffe genutzt werden. Administrative Überwachungsmaßnahmen erfüllen normalerweise nicht die Anforderungen an eine Sicherheitsbarriere mit hoher Integrität. Dennoch können – wie oben angeführt – gewisse Betriebsanweisungen auch als Sicherheitsbarriere mit hoher Integrität angesehen werden, wenn zur Durchführung der geforderten Maßnahmen sowie zur Behebung von möglichen Fehlern durch das Betriebspersonal lange Zeiträume zur Verfügung stehen und eine große Bandbreite verfügbarer Maßnahmen existiert.

6.2.2.4 Verfügbare Zeit

In einigen Situationen kann die zur Verfügung stehende Zeit zur Durchführung von Abhilfemaßnahmen bedeutend länger sein als erforderlich. Dadurch können unter Umständen zusätzliche Sicherheitsvorkehrungen bereitgestellt werden. Diese zusätzlichen Sicherheitsvorkehrungen können unter der Voraussetzung, dass für die Durchführung der Maßnahmen die entsprechenden Prozeduren existieren, als Sicherheitsbarriere berücksichtigt werden. Wo mehrere solcher Sicherheitsbarrieren durch Handlungen des Betriebspersonals als Reaktion auf Alarme oder Befunde wirksam werden, muss die zuverlässige Befolgung der Prozedur selbst in Betracht gezogen werden. Die verfügbare Zeit zur Durchführung der Prozeduren ist entscheidend für die Bewertung der von den Betriebsanweisungen geforderten Zuverlässigkeit (siehe Beispiele in Abschnitt 6.4.1.).

In einigen Fällen kann die verfügbare Zeit derart lang sein, dass es eine ganze Reihe von Sicherheitsvorkehrungen gibt, die zwar verfügbar gemacht werden könnten, die jedoch im Sicherheitsnachweis nicht im Detail erläutert oder die in den Betriebsanweisungen nicht genau beschrieben werden. In solchen Fällen mit mehreren möglichen und verfügbaren Sicherheitsbarrieren stellt diese lange verfügbare Zeit bereits selbst eine Sicherheitsbarriere mit hoher Integrität dar.

6.2.3 Bewertung der Grundeinstufung

6.2.3.1 Der Einstufungsprozess

Nach Ermittlung der maximal möglichen Auswirkungen und der Anzahl wirksamer Sicherheitsbarrieren sollte die Grundeinstufung wie folgt vorgenommen werden:

(1)

Im Sicherheitsnachweis für die Anlage oder Einrichtung wird eine Reihe von Ereignissen identifiziert, die bei der Auslegung der Einrichtung berücksichtigt wurden. Hier wird sinnvollerweise davon ausgegangen, dass ein Teil dieser Ereignisse während der Lebensdauer der Einrichtung tatsächlich auftreten könnte (d. h. dass sie eine Häufigkeit von mehr als 1/N pro Jahr haben werden, wobei N die Lebensdauer der Einrichtung ist). Handelt es sich in dem zu betrachtenden Ereignis um solch ein „erwartetes“ Ereignis und waren die vorgesehenen Sicherheitsvorkehrungen zur Bewältigung dieses erwarteten Ereignisses vor dessen Eintritt voll verfügbar, so sollte die Grundeinstufung des zu betrachtenden Ereignisses bei erwartungsgemäßem Verhalten dieser Sicherheitsvorkehrungen bei „unterhalb der Skala/Stufe 0“ liegen.

(2)

Gleichermaßen sollte die Grundeinstufung des zu betrachtenden Ereignisses bei „unterhalb der Skala/Stufe 0“ liegen, wenn es zu keiner tatsächlichen Anforderung der Sicherheitsvorkehrungen gekommen ist, wobei diese zwar beeinträchtigt waren, deren verminderte Verfügbarkeit jedoch noch innerhalb genehmigter Grenzen lag.

(3)

Bei allen anderen Situationen sollte Tabelle 11 für die Festlegung der Grundeinstufung verwendet werden.

(a)

Verbleibt nur eine Sicherheitsbarriere, welche jedoch alle Anforderungen an eine Sicherheitsbarriere mit hoher Integrität erfüllt (Abschnitt 6.2.2.3), oder stellt die verfügbare Zeit wegen ihrer Dauer eine hoch zuverlässige Sicherheitsbarriere dar (Abschnitt 6.2.2.4), so wäre eine Grundeinstufung „unterhalb der Skala/Stufe 0“¹⁹ angemessen.

(b)

War der Zeitraum der Nichtverfügbarkeit einer Sicherheitsbarriere sehr kurz im Vergleich zu den Prüfintervallen von Komponenten der Sicherheitsbarriere (z. B. einige Stunden für eine monatlich zu prüfende Komponente), sollte eine Herabstufung der Grundeinstufung des Ereignisses erwogen werden.

Tabelle 11: Einstufung von Ereignissen anhand des Sicherheitsbarrieren-Ansatzes

Dieser Ansatz erfordert ein gewisses eigenes Ermessen bei der Einstufung. Abschnitt 6.3 enthält eine Anleitung für spezielle Ereignisarten. In Abschnitt 6.4 sind einige Beispiele für die Anwendung des Sicherheitsbarrieren-Ansatzes aufgeführt.

6.2.3.2 Potenzielle Ereignisse (einschließlich Befunde)

Bei einigen Ereignissen ist die Anzahl der Sicherheitsbarrieren nicht vermindert, sondern lediglich die Wahrscheinlichkeit der Wirksamkeit einzelner Barrieren geringer. Beispiele dafür sind Befunde, ein durch das Betriebspersonal erkanntes und behobenes Leck oder Fehler, die in der Prozessleittechnik (ohne Anforderung) gefunden werden. Der Ansatz zur Einstufung solcher Ereignisse ist wie folgt: Zunächst sollte die Bedeutung des potenziellen Ereignisses eingeschätzt werden. Dies sollte unter der Annahme geschehen, dass es sich tatsächlich ereignet hätte und unter Anwendung der Anleitung in Abschnitt 6.2.3.1 auf der Grundlage der Sicherheitsbarrieren, die noch verblieben wären.

Die Einstufung sollte in Abhängigkeit von der Wahrscheinlichkeit vorgenommen werden, dass sich das potenzielle Ereignis aus dem tatsächlich aufgetretenen Vorkommnis hätte entwickeln können. Der Grad der Herabstufung von der maximal möglichen Einstufung unterliegt dem individuellen Ermessen.

Eines der häufigsten Beispiele für ein potenzielles Ereignis sind Befunde. Mit dem Überwachungsprogramm sollen Befunde erkannt werden, bevor sie ein nicht akzeptables Ausmaß annehmen. Liegt ein Befund in einer akzeptablen Größe vor, ist eine Einstufung unterhalb der Skala/in Stufe 0 angebracht.

Ist das Ausmaß des Befundes größer als im Rahmen des Überwachungsprogramms erwartet, sind bei der Einstufung des Ereignisses zwei Faktoren zu berücksichtigen:

–

Zuerst sollte die Einstufung des Ereignisses unter der Annahme festgelegt werden, dass der Befund zu einem Versagen der Komponente geführt hätte. Hierbei ist die Anleitung in Abschnitt 6.2.3.1 zugrunde zu legen.

–

Die so abgeleitete Einstufung des potenziellen Ereignisses sollte dann je nach der Wahrscheinlichkeit, dass der Befund zu dem potenziellen Ereignis geführt hätte, und unter Berücksichtigung der zusätzlichen Faktoren aus Abschnitt 6.2.4 angepasst werden.

6.2.3.3 Ereignisse unterhalb der Skala/Stufe 0

Im Allgemeinen sollten Ereignisse nur dann als unterhalb der Skala bzw. Stufe 0 klassifiziert werden, wenn die Anwendung der oben beschriebenen Vorgehensweise nicht zu einer höheren Bewertung führt. Setzt man jedoch voraus, dass keiner der in Abschnitt 6.2.4 erläuterten zusätzlichen Faktoren von Bedeutung ist, so sind die nachfolgend aufgeführten Ereignisse typisch für Ereignisse, die als unterhalb der Skala bzw. in Stufe 0 einzuordnen sind:

–

Fehlanregung²⁰ von Sicherheitssystemen mit normaler Rückkehr zum Betrieb, sofern keine Auswirkungen auf die Sicherheit der Anlage aufgetreten sind.

–

Keine bedeutsame Verschlechterung der Barrieren (z. B. eine Leckrate unterhalb von genehmigten Grenzwerten).

–

Einzelfehler oder Nichtverfügbarkeit einer Komponente in einem redundanten System, welche bei einer vorgesehenen wiederkehrenden Prüfung bzw. Inspektion erkannt werden.

6.2.4 Berücksichtigung zusätzlicher Faktoren

Bestimmte Einflüsse können gleichzeitig verschiedene Einrichtungen oder Maßnahmen der gestaffelten Sicherheitsvorkehrungen beeinträchtigen. Bei der Bewertung sind sie daher als zusätzliche Faktoren zu berücksichtigen, die eine Höherstufung rechtfertigen können.

Diese zusätzlichen Faktoren sind:

–

Ausfälle aus gemeinsamer Ursache (Common Cause-Fehler),

–

Mängel in Betriebsvorschriften,

–

Mängel in der Sicherheitskultur.

Aufgrund einer Höherstufung kann ein Ereignis in Stufe 1 eingeordnet werden, obwohl es ohne Berücksichtigung der zusätzlichen Faktoren nur sehr geringe sicherheitstechnische Bedeutung hätte.

Wird die Höherstufung eines Ereignisses aufgrund der zusätzlichen Faktoren in Erwägung gezogen, sind die folgenden Gesichtspunkte zu berücksichtigen:

(1)

Die Einstufung kann nur um eine Stufe angehoben werden. Dies gilt auch, wenn alle zusätzlichen Faktoren zutreffen.

(2)

Einige der oben genannten zusätzlichen Faktoren sind möglicherweise bereits in die Grundeinstufung eingeflossen (z. B. ein Ausfall aus gemeinsamer Ursache). Es ist wichtig, darauf zu achten, dass diese Faktoren bei der Bewertung nicht mehrfach berücksichtigt werden.

(3)

Die Einstufung darf nicht jenseits der Obergrenze nach Abschnitt 6.2.1 liegen. Diese Höchstgrenze sollte nur auf solche Situationen angewendet werden, bei denen ein weiteres Ereignis (entweder ein zu erwartendes Ereignis während der Lebensdauer der Einrichtung oder ein weiterer Komponentenausfall) zu einem Unfall führen würde.

6.2.4.1 Ausfälle aus gemeinsamer Ursache (Common Cause-Fehler)

Unter einem Ausfall aus gemeinsamer Ursache wird der Ausfall mehrerer Systeme oder Komponenten aufgrund eines bestimmten einzelnen Ereignisses oder einer bestimmten einzelnen Ursache verstanden. Insbesondere können Ausfälle aus gemeinsamer Ursache redundante Systeme oder Komponenten betreffen. Dies kann zur Folge haben, dass die Zuverlässigkeit der Sicherheitsfunktion erheblich geringer ist, als im Sicherheitsnachweis angenommen wurde. Die Bedeutung eines Ereignisses, bei dem Ausfälle mehrerer Komponenten aus gemeinsamer Ursache auftreten, die die Funktion einer oder mehrerer Komponenten beeinträchtigen, ist somit größer als die Bedeutung eines Ereignisses mit einem Zufallsausfall der gleichen Komponenten.

Bei Ereignissen, bei denen es aufgrund fehlender oder irreführender Informationen zu Schwierigkeiten dabei kommt, eine im Prinzip verfügbare Sicherheitseinrichtung im Anforderungsfall in Betrieb zu nehmen, kann ebenfalls eine Höherstufung aufgrund eines Ausfalls aus gemeinsamer Ursache in Betracht gezogen werden.

6.2.4.2 Mängel in Betriebsvorschriften

Mängel in den Betriebsvorschriften können dazu führen, dass gleichzeitig mehrere Ebenen des Systems von gestaffelten Sicherheitsvorkehrungen betroffen sind. Solche Unzulänglichkeiten in den Betriebsvorschriften sind deswegen ein weiterer möglicher Grund für eine Anhebung der Grundeinstufung.

6.2.4.3 Ereignisse mit Auswirkungen auf die Sicherheitskultur

Sicherheitskultur ist definiert als „die Summe der Eigenschaften und Haltungen in der Organisation und bei den einzelnen Personen der Anlage, durch die sichergestellt wird, dass Fragen, welche die Sicherheit der Anlage betreffen, als eine übergeordnete Priorität die Aufmerksamkeit erfahren, die sie aufgrund ihrer Bedeutung erfordern“. Eine richtig verstandene Sicherheitskultur hilft, Störungen und Störfälle zu vermeiden. Ein Mangel an Sicherheitskultur kann andererseits dazu führen, dass die Betriebsmannschaft auf eine Weise handelt, die nicht mit den Annahmen und Randbedingungen, die bei der Auslegung der Anlage zugrunde gelegt wurden, im Einklang steht. Die Sicherheitskultur ist daher als ein Teil des Systems von gestaffelten Sicherheitsvorkehrungen zu sehen. Dementsprechend kann ein Mangel in der Sicherheitskultur die Höherstufung eines Ereignisses um eine Stufe rechtfertigen (Informationen zur Sicherheitskultur finden sich z. B. in INSAG 4 [7]).

Um eine Höherstufung aufgrund eines Mangels in der Sicherheitskultur zu rechtfertigen, muss das entsprechende Ereignis einen konkreten Anhaltspunkt für einen Mangel in der Sicherheitskultur als Ganzes geben.

Verletzung von genehmigten Grenzwerten

Einer der am einfachsten definierbaren Indikatoren eines Mangels in der Sicherheitskultur ist eine Verletzung von genehmigten Grenzwerten, die auch als Grenzen oder Vorgaben der Sicherheitsspezifikation bezeichnet werden.

In vielen Anlagen oder Einrichtungen legen die genehmigten Grenzwerte die minimalen Anforderungen an die Verfügbarkeit der Sicherheitssysteme fest, bei deren Einhaltung der Betrieb der Anlage mit keinen Einschränkungen verbunden ist. Dies kann auch den Betrieb der Anlage mit eingeschränkter Verfügbarkeit der Sicherheitssysteme für einen begrenzten Zeitraum einschließen. In einigen Einrichtungen existiert eine Technische Spezifikation (Sicherheitsspezifikation), welche die genehmigten Grenzwerte beinhaltet. Darüber hinaus beschreibt die Technische Spezifikation die zu ergreifenden Maßnahmen für den Fall, dass die Sicherheitsspezifikation nicht eingehalten wird. Dies beinhaltet sowohl Zeiten, die für eine Rückführung in einen sicheren Zustand eingeräumt werden, als auch den angemessenen Wiederherstellungszustand.

Duldet das Betriebspersonal einen Zustand verminderter Verfügbarkeit (gemäß der Technischen Spezifikation) länger als zulässig oder ergreift es gezielt Maßnahmen, die dazu führen, dass sich die Anlage außerhalb eines zulässigen Betriebszustands befindet, dann sollte erwogen werden, die Grundeinstufung des Ereignisses aufgrund von Mängeln in der Sicherheitskultur zu erhöhen.

Wird entdeckt, dass die Verfügbarkeit eines Sicherheitssystems unterhalb der genehmigten Grenzen liegt (z. B. nach einer Routineprüfung), das Betriebspersonal die Anlage jedoch in Übereinstimmung mit den für einen solchen Fall in der Technischen Spezifikation vorgesehen Maßnahmen in einen sicheren Zustand überführt, so sollte das Ereignis entsprechend Abschnitt 6.2.3.1 eingestuft werden. Das Ereignis sollte aber nicht höhergestuft werden, da keine Verletzung der Technischen Spezifikation vorgelegen hat.

Die Technischen Spezifikationen von Anlagen oder Einrichtungen können zusätzlich zu den genehmigten Grenzwerten weitere Vorgaben enthalten, zum Beispiel Grenzwerte für die Langzeitsicherheit von Komponenten. Wird ein solcher Grenzwert nur für kurze Zeit überschritten, kann eine Einstufung des Ereignisses in Stufe 0 angemessen sein.

Auch für Reaktoren in abgeschaltetem Zustand kann die Sicherheitsspezifikation Mindestanforderungen an die Verfügbarkeit von Sicherheitssystemen stellen. Es sind üblicherweise jedoch keine Zeiten für eine Rückführung in einen ursprünglichen Zustand oder angemessene Wiederherstellungszustände spezifiziert. Die allgemeine Anforderung ist, den Ausgangszustand der Anlage so schnell wie möglich wiederherzustellen. Die Verminderung der Verfügbarkeit unterhalb der Anforderungen der Technischen Spezifikation sollte nicht als Verletzung genehmigter Grenzwerte gesehen werden, falls die Rückführung in einen genehmigten Zustand ohne unnötige Verzögerung erfolgt ist.

Weitere Mängel in der Sicherheitskultur

Weitere Beispiele für Indikatoren für einen Mangel in der Sicherheitskultur können sein:

–

die Verletzung einer Betriebsvorschrift ohne vorherige Genehmigung,

–

ein Mangel in Qualitätssicherungsmaßnahmen,

–

eine Häufung menschlicher Fehler,

–

die Strahlenexposition einer Person der Bevölkerung infolge eines einzeln auftretenden Ereignisses über gesetzlich festgelegte Dosis-Jahresgrenzwerte hinaus,

–

die kumulierte Strahlenexposition von beruflich strahlenexponiertem Personal oder von Personen der Bevölkerung über gesetzliche Dosis-Jahresgrenzwerte hinaus,

–

unzureichende Überwachung von radioaktiven Stoffen einschließlich ihrer Abgabe in die Umgebung, einer Ausbreitung oder Kontamination sowie Mängel in der Dosisüberwachung,

–

das wiederholte Auftreten eines Ereignisses, welches aufzeigt, dass der Betreiber nach dem ersten Auftreten des Ereignisses weder die erforderlichen Schlussfolgerungen gezogen noch geeignete Abhilfemaßnahmen ergriffen hat.

Hier soll noch einmal darauf hingewiesen werden, dass es nicht die Absicht dieser Anleitung ist, einen langen und ausführlichen Bewertungsprozess zu initiieren. Vielmehr soll man auf ihrer Grundlage zu einer raschen Einschätzung kommen können. Oft ist es unmittelbar nach einem Ereignis schwierig zu bestimmen, ob das Ereignis aufgrund von Mängeln in der Sicherheitskultur höher gestuft werden sollte. In solch einem Fall sollte auf der Grundlage des jeweils aktuellen Kenntnisstandes eine vorläufige Einstufung vorgenommen werden. Eine endgültige Einstufung kann dann zusätzliche Informationen zur Sicherheitskultur, die sich aus einer eingehenden Untersuchung ergeben, mit berücksichtigen.

6.3 Anleitung für die Verwendung des Sicherheitsbarrieren-Ansatzes für spezifische Ereignisse

6.3.1 Ereignisse mit Ausfällen in Kühlsystemen bei abgeschaltetem Reaktor

Die meisten Sicherheitssysteme eines Leistungsreaktors sind zur Beherrschung auslösender Ereignisse im Leistungsbetrieb ausgelegt. Ereignisse während des An- oder Abfahrens oder bei heiß unterkritischer Anlage sind denen im Leistungsbetrieb sehr ähnlich und sollten bei der Einstufung gemäß Kapitel 5 behandelt werden. Nach Abfahren des Reaktors sind einige der Sicherheitssysteme weiterhin zur Gewährleistung der Sicherheitsfunktionen erforderlich, wobei normalerweise mehr Zeit für Maßnahmen zur Verfügung steht. Andererseits kann die Zeitspanne, die für Handmaßnahmen zur Verfügung steht, möglicherweise einen Teil der Sicherheitsvorkehrungen hinsichtlich Redundanz und/oder Diversität ersetzen. Abhängig vom Zustand der Anlage kann bei kalter, abgeschalteter Anlage in bestimmten Phasen eine Verringerung der Redundanz von Sicherheitseinrichtungen und/oder Barrieren akzeptabel und zulässig sein. So kann in bestimmten Phasen bei kalter abgeschalteter Anlage die Konfiguration der Barrieren sehr unterschiedlich sein (z. B. offener Reaktorkühlkreislauf, offener Sicherheitsbehälter). Aus diesen Gründen ist als alternativer Ansatz für die Einstufung von Ereignissen bei abgeschaltetem Reaktor der Sicherheitsbarrieren-Ansatz vorgesehen.

Die wesentlichen Faktoren für die Einstufung sind

–

die Anzahl der verfügbaren Stränge des Nachkühlsystems (oder andere Kühlmöglichkeiten),

–

die Zeit, welche für Abhilfemaßnahmen zur Verfügung steht, und

–

die Integrität der Rohrleitungen und Behälter für das Kühlmittel.

Einige Beispiele für Ereignisse in Druckwasserreaktoren bei kalter abgeschalteter Anlage sind in Abschnitt 6.4.1 (Beispiele 41 bis 46) als Anleitung für eine Einstufung nach dem Sicherheitsbarrieren-Ansatz angegeben. Für andere Reaktortypen ist es notwendig, diese in Kombination mit Abschnitt 6.2 zur Einstufung derartiger Ereignisse heranzuziehen.

6.3.2 Ereignisse mit Versagen der Brennelementlagerbecken-Kühlsysteme

Nach einigen Betriebsjahren kann das radioaktive Inventar im Lagerbecken für abgebrannte Brennelemente hoch sein. In diesem Fall kann die Einstufung von Ereignissen, die das Lagerbecken betreffen, im Rahmen des Bewertungsaspektes „Beeinträchtigung der Sicherheitsvorkehrungen“ alle Stufen von 0 bis 3 umfassen.

Bei Ereignissen mit verminderter Kühlung des Brennelementlagerbeckens ist aufgrund des großen Wasserinhalts und der vergleichsweise niedrigen Nachzerfallsleistung normalerweise sehr viel Zeit für Abhilfemaßnahmen vorhanden. Dies trifft gleichermaßen für einen Kühlmittelverlust aus dem Brennelementlagerbecken zu, da die maximale Leckage aus dem Lagerbecken auslegungsgemäß begrenzt ist. Ein Ausfall der Kühlung des Brennelementlagerbeckens über einige Stunden oder eine Kühlmittelleckage beeinträchtigen daher die Integrität der abgebrannten Brennelemente in der Regel nicht.

Deshalb sind eine geringfügig verminderte Kühlung des Lagerbeckens oder eine kleine Leckage typischerweise unterhalb der Skala/Stufe 0 einzustufen.

Eine Verletzung von Grenzwerten oder Vorgaben der Sicherheitsspezifikation bzw. vergleichbarer Regelungen, ein erheblicher Anstieg der Kühlmitteltemperatur im Lagerbecken oder ein starkes Absinken des Wasserstandes im Lagerbecken sollten in Stufe 1 eingestuft werden.

Hinweise auf eine Einstufung in Stufe 2 liegen bei weitreichendem Sieden des Kühlmittels vor oder wenn die Brennelemente nicht mehr vollständig mit Wasser bedeckt sind. Falls die Brennelemente bereits zu einem großen Teil nicht mehr mit Wasser bedeckt sind, erscheint eindeutig Stufe 3 angemessen.

6.3.3 Kritikalitätskontrolle

Das Verhalten einer kritischen Anordnung und seine möglichen radiologischen Konsequenzen hängen stark von den physikalischen Bedingungen und Eigenschaften der Anordnung ab. In homogenen Spaltstofflösungen sind die mög­liche Anzahl von Spaltungen, der Leistungspeak und die möglichen Konsequenzen einer Kritikalitätsexkursion durch diese Randbedingungen begrenzt. Die Erfahrung mit Kritikalitätsexkursionen in Spaltstofflösungen zeigt, dass typischerweise die Gesamtzahl an Spaltungen in der Größenordnung 10¹⁷ bis 10¹⁸ liegt.

Heterogene kritische Anordnungen wie Brennstabgitter oder trockene kritische Anordnungen als Feststoff haben das Potential für hohe Leistungsspitzen mit einer explosionsartigen Energiefreisetzung und der Möglichkeit einer Freisetzung großer Mengen an radioaktiven Stoffen durch eine erhebliche Beschädigung der Anlage. Bei solchen Anlagen könnten die maximal möglichen Auswirkungen Stufe 4 überschreiten.

Bei anderen Einrichtungen liegt die Hauptgefahr einer Kritikalitätsexkursion in einer hohen Strahlenexposition des Personals beim Auftreten starker Strahlenfelder durch direkt emittierte Neutronen und Gammastrahlung. Weitere Auswirkungen können in der Freisetzung kurzlebiger radioaktiver Spaltprodukte in die Umgebung und in einer möglicherweise erheblichen Kontamination innerhalb der Anlage liegen. Bei diesen beiden Szenarien würden die maximal möglichen Auswirkungen bei Stufe 3 oder 4 anzuordnen sein.

Zur allgemeinen Anleitung für die Bewertung bedeutet dies:

–

Kleinere Abweichungen von den Sicherheitsvorkehrungen zur Kritikalitätssicherheit, die sich innerhalb der genehmigten Grenzwerte halten, sollten unterhalb der Skala/in Stufe 0 eingeordnet werden.

–

Betriebszustände außerhalb der genehmigten Grenzwerte sollten zumindest als Stufe 1 gewertet werden.

–

Ein Ereignis sollte in Stufe 2 eingestuft werden, wenn

–

nur noch eine Sicherheitsvorkehrung eine Kritikalitätsexkursion verhindert hat oder

–

bei geringfügig anderen Umständen eine Exkursion eigetreten wäre

–

und die möglichen maximalen Auswirkungen dieser Exkursion auf Stufe 3 oder 4 beschränkt wären.

–

Stufe 3 ist angemessen, wenn unter den oben genannten Bedingungen die maximal möglichen Auswirkungen bei Stufe 5 oder darüber gelegen haben könnten.

Verbleibt mehr als eine Sicherheitsbarriere, so ist eine niedrigere Einstufung angebracht. Dann sollte Tabelle 11 für die Bestimmung der angemessenen Einstufung herangezogen werden.

6.3.4 Nicht genehmigte Freisetzung oder Verbreitung von Kontamination

Ein Ereignis mit einer Verschleppung von radioaktiven Stoffen, die zu einer für den betroffenen Bereich ungewöhnlichen Kontamination geführt hat, kann auf Stufe 1 eingestuft werden, falls ein Mangel in der Sicherheitskultur vorliegt (Abschnitt 6.4.2 „Ausfall der Maßnahmen zur Gewährleistung der ausreichenden Überwachung von radioaktiven Stoffen“). Eine Kontamination oberhalb genehmigter Grenzwerte für den betroffenen Bereich sollte auf Stufe 1 eingestuft werden. Bedeutsame Ausfälle von Sicherheitsvorkehrungen sollten unter Berücksichtigung der maximal möglichen Auswirkungen bei Ausfall aller Sicherheitsvorkehrungen und im Hinblick auf die verbleibende Anzahl von Sicherheitsbarrieren eingestuft werden.

Jede Nichtbeachtung genehmigter Ableitungsgrenzen sollte zumindest in Stufe 1 eingestuft werden.

6.3.5 Mängel in der Dosisüberwachung

Es ist nicht auszuschließen, dass sich Vorschriften und/oder organisatorische Maßnahmen des Strahlenschutzes unter speziellen Randbedingungen als nicht ausreichend erweisen und Beschäftigte ungeplant einer inneren oder äußeren Strahlenexposition ausgesetzt werden. Solche Ereignisse können auf der Basis von Abschnitt 6.2.4 („Ausfall der Maßnahmen zur Gewährleistung der ausreichenden Überwachung von radioaktiven Stoffen“) in Stufe 1 eingestuft werden. Führt das Ereignis zu einer kumulierten Dosis oberhalb der genehmigten Grenzwerte, sollte es zumindest als Stufe 1 bewertet werden, da eine Verletzung von genehmigten Grenzwerten für den Betrieb vorliegt.

Generell sollte die Anleitung in Abschnitt 6.2.4 nicht dazu verwendet werden, Ereignisse im Zusammenhang mit Mängeln bei der Dosisüberwachung nach der Grundeinstufung in Stufe 1 anschließend höherzustufen. Andernfalls werden Ereignisse, bei denen eine Strahlenexposition vermieden worden ist, auf der gleichen Stufe eingestuft werden wie Ereignisse, bei denen sich tatsächlich eine bedeutende Strahlenexposition jenseits der Dosisgrenzwerte ereignet hat. Dennoch wäre bei einer Beeinträchtigung der gestaffelten Sicherheitsvorkehrungen mit Verfügbarkeit nur einer oder keiner Sicherheitsbarriere Stufe 2 angebracht unter der Voraussetzung, dass die maximal möglichen Auswirkungen bei Stufe 3 oder 4 liegen.

6.3.6 Ausfall von Verriegelungen von Türen zu abgeschirmten Bereichen

Um ein unbeabsichtigtes Betreten normalerweise abgeschirmter Bereiche zu verhindern, werden im Allgemeinen verschiedene Maßnahmen vorgesehen, zum Beispiel:

–

Verriegelungen der Eingangstüren zu den abgeschirmten Bereichen, die über Ortsdosisleistungsmessstellen aktiviert werden,

–

die Verwendung spezieller Freigabeverfahren für das Betreten von abgeschirmten Bereichen sowie

–

die Messung der Ortsdosisleistung vor dem Zutritt.

Ein Ausfall der Verriegelung von Eingangstüren zu abgeschirmten Bereichen kann zum Beispiel durch einen Ausfall der Stromversorgung, durch Defekte an Messeinrichtungen bzw. der zugehörigen Elektronik oder durch menschliches Versagen bewirkt werden.

Da die maximal möglichen Auswirkungen für derartige Ereignisse auf Stufe 4 begrenzt sind, sollten solche Ereignisse auf Stufe 2 eingestuft werden. Ereignisse, bei denen zwar einige Vorkehrungen versagt haben, wo jedoch zusätzliche Sicherheitsbarrieren – darunter z. B. administrative Vorkehrungen der Zugangsberechtigung – intakt geblieben sind, sollten in Stufe 1 eingeordnet werden.

6.3.7 Versagen von Abluft- und Filtereinrichtungen sowie Reinigungssystemen

In Einrichtungen, in denen mit bedeutsamen Mengen radioaktiver Stoffe umgegangen wird, können bis zu drei separate aber untereinander verbundene Abluftsysteme in Betrieb sein, um die Druckstaffelung zwischen den Prozessbehältern, den Zellen bzw. Handschuhkästen und den Betriebsräumen aufrechtzuerhalten und für angemessene Durchströmung durch die Öffnungen in den Umschließungen der Prozesszellen zu sorgen, damit eine Rückdiffusion radioaktiver Stoffe vermieden wird. Außerdem gibt es Reinigungssysteme wie Hochleistungs-Aerosolfilter (HEPA-Filter) oder Wäscher, um die Ableitungen in die Atmosphäre auf Werte unterhalb der zugelassenen Grenzwerte zu verringern und eine Rückdiffusion radioaktiver Stoffe in Bereiche mit niedrigerer Aktivität zu verhindern.

In einem ersten Schritt sind bei der Einstufung eines Ereignisses mit einem Ausfall solcher Systeme die maximal möglichen Auswirkungen bei Versagen aller Sicherheitsvorkehrungen zu bestimmen. Dabei sind das Inventar an radioaktiven Stoffen und die möglichen Ausbreitungswege innerhalb und außerhalb der Anlage zu berücksichtigen. Auch sollte das Potenzial für eine Verringerung der Inertgaskonzentration oder die Bildung explosionsfähiger Gemische in Betracht gezogen werden. In den meisten Fällen, außer bei der Möglichkeit einer Explosion, ist es unwahrscheinlich, dass die maximal möglichen Auswirkungen die Stufe 4 übersteigen. Unter Berücksichtigung der gestaffelten Sicherheitsvorkehrungen läge daher die Einstufung bei Stufe 2.

Im zweiten Schritt ist die Anzahl der verbliebenen Sicherheitsbarrieren zu bestimmen. Dabei sollten auch Anweisungen zur Vermeidung von Verschleppung weiterer Aktivität durch das Unterlassen von Arbeiten berücksichtigt werden.

Die Einstufung solcher Ereignisse wird anhand von Beispiel 52 in Abschnitt 6.4.2 illustriert.

6.3.8 Handhabungsstörfälle und Absturz schwerer Lasten

6.3.8.1 Ereignisse ohne Beteiligung von Brennelementen

Die Auswirkung eines Handhabungsstörfalls oder des Versagens von Hebezeugen hängt ab von den zu handhabenden Gegenständen, dem Bereich, in dem sich das Ereignis ereignet hat und den Einrichtungen, die betroffen gewesen sind oder hätten betroffen sein können.

Ereignisse, bei denen aufgrund des Absturzes einer Last eine Kontamination mit radioaktiven Stoffen zu befürchten ist (entweder durch die abgestürzten Last selber oder durch betroffene Rohrleitungen oder Behälter), sollten unter Berücksichtigung der maximal möglichen Auswirkungen und der Wahrscheinlichkeit einer solchen Kontamination eingestuft werden. Ereignisse, bei denen ein Absturz einer Last nur zu einem geringen Schaden führt, die Wahrscheinlichkeit eines schwerwiegenderen Schadens jedoch relativ hoch war, sollten gemäß der gestaffelten Sicherheitsvorkehrungen auf

der höchsten Stufe eingestuft werden, die für die maximal möglichen Auswirkungen angemessen ist. Gleichermaßen sollten Ereignisse, bei denen lediglich eine Sicherheitsbarriere den Schaden verhindert hat, auch auf der höchsten Stufe eingestuft werden, sofern diese Sicherheitsbarriere nicht von besonders hoher Zuverlässigkeit oder Integrität ist.

Ereignisse, bei denen die Wahrscheinlichkeit geringer ist oder wo zusätzliche Sicherheitsbarrieren zur Verfügung stehen, sollten gemäß der Anleitung in Abschnitt 6.2 eingestuft werden.

Geringfügige Handhabungsereignisse, die während der Lebensdauer der Einrichtung zu erwarten sind, sollten unterhalb der Skala/Stufe 0 eingestuft werden.

6.3.8.2 Ereignisse bei der Brennelementhandhabung

Ereignisse bei der Handhabung von unbestrahlten Uran-Brennelementen ohne nennenswerte Bedeutung für die Handhabung bestrahlten Brennstoffs werden normalerweise unterhalb der Skala/Stufe 0 eingestuft, sofern keine Gefahr bestanden hat, abgebrannte Brennelemente oder sicherheitstechnisch wichtige Komponenten und Systeme zu beschädigen.

Das radioaktive Inventar eines einzelnen abgebrannten Brennelements ist erheblich geringer als das des Lagerbeckens für abgebrannte Brennelemente oder des Reaktorkerns. Die maximal möglichen Auswirkungen sind daher begrenzt.

Solange die Kühlung des abgebrannten Brennelementes sichergestellt ist, ist eine wesentliche Sicherheitsbarriere verfügbar, da die Integrität der Brennstoffmatrix nicht durch eine Überhitzung beeinträchtigt werden kann. Grundsätzlich sind bis zu einer Überhitzung des Brennstoffs sehr lange Zeiträume zu unterstellen. Je nach Anlagenkonfiguration stellt das Anlagengebäude (der Sicherheitsbehälter oder eine vergleichbare Einhausung) ebenfalls eine Sicherheitsbarriere dar.

Handhabungsereignisse, die während der Lebensdauer der Einrichtung zu erwarten sind und die zu keiner Beeinträchtigung der Kühlung der Brennelemente sowie zu keiner oder nur einer geringen Freisetzung führen, sollten typischerweise unterhalb der Skala/Stufe 0 eingestuft werden. Stufe 1 sollte bei folgenden Ereignissen in Betracht gezogen werden:

–

Ereignisse, die während der Lebensdauer der Einrichtung nicht erwartet werden;

–

Ereignisse mit Verletzung von genehmigten Grenzwerten;

–

Ereignisse mit Beeinträchtigung der Kühlung in begrenztem Umfang, ohne dass die Integrität der Brennstäbe gefährdet wird;

–

Ereignisse mit mechanischer Beschädigung der Brennstabintegrität ohne Beeinträchtigung der Kühlung.

Stufe 2 könnte für solche Ereignisse angemessen sein, bei denen durch eine starke Aufheizung des Brennelements die Brennstabintegrität verloren geht.

6.3.9 Ausfall der Stromversorgung

Für viele Anlagen und Einrichtungen ist eine zuverlässige Stromversorgung notwendig, um den sicheren Betrieb und die Verfügbarkeit der Überwachungseinrichtungen und Instrumentierung zu gewährleisten. In solchen Fällen werden mehrere unabhängige und diversitäre Versorgungseinrichtungen eingesetzt, um Fehler aus gemeinsamer Ursache auszuschließen. Einige Einrichtungen werden unter besonderen Umständen automatisch abgeschaltet und in einen sicheren Zustand überführt, falls es zu einem totalen Ausfall der Stromversorgung kommt. In anderen Anlagen und Einrichtungen werden zusätzliche Sicherheitsfunktionen bereitgestellt, z. B. die Verwendung von Inertgas oder Notstromanlagen.

Um Ereignisse mit einem Ausfall der Fremdstromversorgung oder einem Versagen der Notstromversorgung einstufen zu können, ist es notwendig, der Anleitung in Abschnitt 6.2 zu folgen. Hierbei sollten die noch verbleibende verfügbare Stromversorgung, die Dauer, während derer die ausgefallene Versorgung nicht zur Verfügung steht, sowie die maximal möglichen Auswirkungen berücksichtigt werden. Insbesondere ist die Dauer in Betracht zu ziehen, die akzeptabel ist, bevor die Fremdstromversorgung wiederhergestellt sein muss.

Bei einigen Anlagen und Einrichtungen werden keine negativen sicherheitstechnischen Auswirkungen auftreten, selbst nicht bei einem Totalausfall der Stromversorgung über mehrere Tage. Ereignisse in diesen Anlagen und Einrichtungen sollten generell unterhalb der Skala/Stufe 0 eingestuft werden, da es während der verfügbaren Zeit genügend Möglichkeiten geben sollte, um die Versorgung wiederherzustellen. Stufe 1 wäre angemessen, falls die Verfügbarkeit von Sicherheitssystemen außerhalb genehmigter Grenzen liegt.

Ein teilweiser Ausfall der elektrischen Stromversorgung oder der Versorgung aus dem normalen Stromnetz mit Verfügbarkeit der Reservesysteme ist während der Lebensdauer der Einrichtung „zu erwarten“ und sollte deshalb unterhalb der Skala/Stufe 0 eingestuft werden.

6.3.10 Brände und Explosionen

Ein Brand oder eine Explosion innerhalb oder in der Nachbarschaft einer Anlage oder Einrichtung ohne eine potenzielle Beeinträchtigung der Sicherheitsvorkehrungen sollte entweder nicht anhand der Skala oder als unterhalb der Skala/Stufe 0 bewertet werden. Brände, die durch die installierten Löschsysteme auslegungsgemäß gelöscht werden, sollten vergleichbar behandelt werden.

Die Bedeutung von Bränden und Explosionen in Anlagen und Einrichtungen hängt nicht allein von den daran beteiligten Stoffen ab, sondern auch von der örtlichen Lage und der Möglichkeiten von Feuerlöschmaßnahmen. Die Einstufung hängt sowohl von den maximal möglichen Auswirkungen als auch von der Anzahl und Wirksamkeit der verbleibenden Sicherheitsbarrieren ab. Dazu gehören auch Brandschutzwände, Feuerbekämpfungssysteme sowie separate Sicherheitssysteme. Bei der Beurteilung der Wirksamkeit verbleibender Sicherheitsbarrieren sollte die Wahrscheinlichkeit, dass diese Wirksamkeit vermindert sein könnte, in Betracht gezogen werden.

Falls schwachaktive Abfälle betroffen sind, sollte jeder Brand oder jede Explosion bei Fehlern in den Vorschriften oder Mängeln in der Sicherheitskultur auf Stufe 1 eingestuft werden.

6.3.11 Einwirkungen von außen

Einwirkungen von außen, wie Brände, Erdbeben, Tornados oder Explosionsdruckwellen können in der gleichen Weise wie andere Ereignisse bewertet werden, indem man die Anzahl der verbliebenen wirksamen Sicherheitsvorkehrungen betrachtet.

Für Ereignisse, die die Verfügbarkeit von Systemen einschränken, die speziell zum Schutz gegen bestimmte Einwirkungen von außen dienen, ist die Anzahl der verbliebenen Sicherheitsbarrieren zu betrachten. Dabei ist die Wahrscheinlichkeit einzubeziehen, dass es während der eingeschränkten Verfügbarkeit des betroffenen Systems zu der entsprechenden Einwirkung von außen gekommen wäre. Angesichts der geringen Eintrittshäufigkeit, mit der solche Einwirkungen zu erwarten sind, ist Einstufung oberhalb von Stufe 1 in der überwiegenden Zahl der Fälle nicht angemessen.

6.3.12 Ausfall von Kühlsystemen

Fehler in sicherheitsrelevanten Kühlsystemen können in einer ähnlichen Weise bewertet werden wie Fehler in elektrischen Systemen, indem die maximal möglichen Auswirkungen, die Anzahl der Sicherheitsbarrieren und die zulässige Ausfallzeit bis zu einer notwendigen Wiederherstellung der Kühlung berücksichtigt werden.

Betreffen die Fehler in den Kühlsystemen die Kühlung hochradioaktiver flüssiger Abfälle oder die Lagerung von Plutonium, so ist im Allgemeinen die Stufe 3 für Ereignisse angemessen, bei denen nur eine einzige Sicherheitsbarriere für eine signifikante Zeitspanne wirksam bleibt.

6.4 Anwendungsbeispiele

6.4.1 Ereignisse bei abgeschaltetem Leistungsreaktor

Beispiel 41. Ausfall der Nachkühlung durch Anstieg des Kühlmitteldrucks – unterhalb der Skala/Stufe 0

Ereignisbeschreibung

Die Nachkühlung wurde durch Umwälzung des Kühlmittels über zwei Nachkühl-Wärmetauscher mit separaten Saugleitungen vorgenommen. Beide dieser Saugleitungen verfügten über zwei Absperrventile. Die Ventile in jeder Leitung wurden durch zwei separate Druck-Messumformer gesteuert und konnten von der Warte aus bedient werden. Der Primärkreis war geschlossen. Die Dampferzeuger standen zur Verfügung, wodurch sichergestellt wurde, dass ein Temperaturanstieg bei einem Ausfall der Nachkühlung nur langsam ablaufen würde. Die Sicherheitseinspeisung stand nicht zur Verfügung. Die Hochdruck-Sicherheitseinspeisepumpen sind von den Flutpumpen getrennt. Zur Steuerung des Primärkreisdrucks standen Entlastungsventile zur Verfügung.

Die Sicherheitsvorkehrungen sind in Abbildung 1 dargestellt.

Das Ereignis trat auf, als ein Anstieg des Kühlmitteldrucks das Schließen der Absperrventile verursachte. Das Betriebspersonal wurde hierauf durch Anzeigen in der Warte aufmerksam. Nach Absenkung des Drucks wurden die Ventile wieder geöffnet. Die Temperaturen überschritten die in der Technischen Spezifikation angegebenen Grenzwerte nicht.

Abbildung 1: Darstellung der Sicherheitsvorkehrungen für Beispiel 41

Erläuterung der Einstufung

Beispiel 42. Ausfall der Nachkühlung durch fehlerhaften Betrieb von Druckmesssonden – unterhalb der Skala/Stufe 0

Ereignisbeschreibung

Die Nachkühlung wurde durch Umwälzung des Kühlmittels über einen einzigen Nachkühler mit einer Saugleitung bereitgestellt. Diese Saugleitung verfügte über zwei Absperrventile. Die Ventile können von der Warte aus bedient werden. Der Primärkreis war offen und die Reaktorgrube geflutet. Der Reaktor war seit einer Woche abgeschaltet, weshalb jeglicher Anstieg der Kühlmitteltemperatur nur langsam vorgehen konnte. Die Dampferzeuger waren für Arbeiten geöffnet worden und standen daher nicht zur Verfügung. Das Sicherheitseinspeisesystem war nicht verfügbar. Die Hochdruck-Sicherheitseinspeisepumpen sind von den Flutpumpen getrennt. Zur Steuerung des Primärkreisdrucks standen Entlastungsventile zur Verfügung.

Das Ereignis trat auf, als der fehlerhafte Betrieb von Druckmesssonden das Schließen der Absperrventile verursachte. Das Betriebspersonal wurde hierauf durch Anzeigen auf der Warte aufmerksam. Nach Bestätigung, dass der Druckanstieg fehlerhaft gemeldet worden war, wurden die Ventile wieder geöffnet. Die Temperaturen überschritten die in der Technischen Spezifikation angegebenen Grenzwerte nicht. Dies wäre erst nach Ablauf von 10 Stunden geschehen.

Erläuterung der Einstufung

Beispiel 43. Vollständiger Ausfall der Nachkühlung – Stufe 1

Ereignisbeschreibung

Die Nachkühlung des Reaktorbehälters fiel für mehrere Stunden aus, als die saugseitigen Absperrventile des in Betrieb befindlichen Nachkühlsystems automatisch schlossen. Diese Ventile schlossen aufgrund eines Ausfalls der

Stromversorgung in Redundanz 2 des Reaktorschutzsystems infolge unsachgemäßer Wartungsarbeiten. Die alternative Spannungsversorgung war bereits für Wartungsarbeiten freigeschaltet worden. Die Anlage befand sich bereits seit langem im Stillstand (etwa 16 Monate), weshalb die Zerfallswärme sehr gering war. Während des Zeitraums der Nichtverfügbarkeit der Nachkühlung heizte sich das Wasser im Reaktorbehälter um etwa 0,3 °C/h auf. Das Nachkühlsystem wurde etwa 6 Stunden nach dem Beginn des Ereignisses wieder in Betrieb gesetzt.

Erläuterung der Einstufung

Wäre die Zerfallswärme nicht so gering gewesen, so wäre die verfügbare Zeit viel kürzer und nicht als Sicherheitsbarriere mit hoher Integrität zu betrachten gewesen. In solch einem Fall sind die tatsächlich wirksamen Sicherheitsbarrieren wie folgt:

–

Anweisungen und Handlungen des Betriebspersonals zur Wiederherstellung der Spannungsversorgung in Redundanz 2 des Reaktorschutzsystems;

–

Anweisungen und Handlungen des Betriebspersonals zur Wiederherstellung der Nachwärmeabfuhr mit alternativen Systemen.

Da zwei Sicherheitsbarrieren verfügbar blieben, wäre das Ereignis in Stufe 2 eingestuft worden. Diese Einstufung wäre nicht auf Stufe 3 angehoben worden, da ein weiteres Versagen nicht zu einem Unfall geführt hätte (siehe Abschnitt 6.2.4).

Beispiel 44. Ausfall der Nachkühlung durch Anstieg des Kühlmitteldrucks – Stufe 2

Ereignisbeschreibung

Die Auslegung ist mit der in Beispiel 41 identisch, jedoch waren die Dampferzeuger für Arbeiten geöffnet und deshalb nicht verfügbar. Die Sicherheitsvorkehrungen sind in Abbildung 2 dargestellt. Das Ereignis trat einige Zeit nach der Abschaltung des Reaktors auf, als ein Anstieg des Kühlmitteldrucks das Schließen der Absperrventile im Nachwärmeabfuhrsystem auslöste. Das Betriebspersonal wurde hierauf durch Anzeigen auf der Warte aufmerksam. Nach Absenkung des Drucks wurden die Ventile wieder geöffnet. Die Temperaturen überschritten die in der Technischen Spezifikation angegebenen Grenzwerte nicht. Die Nachwärme war so gering, dass dies erst nach Ablauf von 5 Stunden geschehen wäre.

Erläuterung der Einstufung

Abbildung 2: Darstellung der Sicherheitsbarrieren für Beispiele 44 und 46

Beispiel 45. Ausfall der Nachkühlung durch fehlerhaften Betrieb von Druckmesssonden – Stufe 3

Ereignisbeschreibung

Die Auslegung ist mit der in Beispiel 42 identisch, jedoch ereignete sich das Ereignis kurz nach der Abschaltung. Die Nachkühlung wurde durch Umwälzung des Kühlmittels durch einen einzelnen Nachkühl-Wärmetauscher über eine Saugleitung bereitgestellt. Diese Saugleitung verfügte über zwei Absperrventile. Der Primärkreis war geschlossen. Bei Schließen der Absperrventile steigt der Kühlmitteldruck. Es dauert jedoch etwa eine Stunde, bis unzulässige Temperaturen erreicht werden. Die Ventile können von der Warte aus bedient werden. Die Dampferzeuger waren für Arbei­ten geöffnet und daher nicht verfügbar. Die Sicherheitseinspeisung stand nicht zur Verfügung. Die Hochdruck-Sicherheitseinspeisepumpen sind von den Flutpumpen getrennt. Zur Steuerung des Primärkreisdrucks standen Entlastungsventile zur Verfügung.

Das Ereignis trat auf, als der fehlerhafte Betrieb von Druckmesssonden das Schließen der Absperrventile verursachte. Das Betriebspersonal wurde hierauf durch Anzeigen auf der Warte aufmerksam. Nach der Bestätigung, dass der Druckanstieg fehlerhaft gemeldet worden war, wurden die Ventile wieder geöffnet. Die Temperaturen überschritten die in der Technischen Spezifikation angegebenen Grenzwerte nicht.

Erläuterung der Einstufung

Beispiel 46. Ausfall der Nachkühlung durch Anstieg des Kühlmitteldrucks – Stufe 3

Ereignisbeschreibung

Die Auslegung der Anlage entspricht der aus Beispiel 44, jedoch trat das Ereignis bald nach der Abschaltung auf, als aufgrund eines Anstiegs des Kühlmitteldrucks die Absperrventile schlossen. Die Sicherheitsvorkehrungen sind in Abbildung 2 dargestellt.

Erläuterung der Einstufung

6.4.2 Ereignisse bei Anlagen des Brennstoffkreislaufs und Forschungsreaktoren

Beispiel 47. Druckaufbau im Hohlraum über der Flüssigkeitsoberkante in einem Auflösegefäß für Brennelemente – unterhalb der Skala/Stufe 0

Ereignisbeschreibung

Ein geringer Druckaufbau im Hohlraum über der Flüssigkeitsoberkante in einem Auflösegefäß einer Wiederaufarbeitungsanlage führte zu einer automatischen Abschaltung des laufenden Prozesses. Das Heizsystem des Auflösegefäßes wurde abgeschaltet und Kühlwasser zugeführt. Die Salpetersäurezufuhr wurde gestoppt und die weitere chemische Auflösung wurde durch Hinzufügung von Wasser zum Inhalt des Auflösegefäßes unterbrochen. Es trat keine Freisetzung luftgetragener Kontamination in den Betriebsbereich der Anlage oder in die Umgebung auf.

Die späteren Untersuchungen ergaben, dass der Druckaufbau auf eine anomale Freisetzung von Wasserdampf und eine gesteigerte Produktionsrate von nitrosen Dämpfen, bedingt durch eine kurzzeitig erhöhte Auflösungsrate des Brennstoffs, zurückzuführen war.

Erläuterung der Einstufung

Beispiel 48. Ausfall der Kühlung in einem kleinen Forschungsreaktor – unterhalb der Skala/Stufe 0

Ereignisbeschreibung

Das Ereignis trat in einem 100-kW-Forschungsreaktor mit großem Reaktorbecken (Pool-Typ) und einem Wärmeabfuhr-/Reinigungssystem auf. Eine schematische Darstellung findet sich in Abbildung 3. Bei einem Ausfall der Kühlung heizt sich das Wasser extrem langsam auf.

Das Ereignis trat auf, als die Rohrleitung hinter der Pumpe versagte und Kühlmittel aus der Ansaugleitung gepumpt wurde. Die Pumpe versagte daraufhin wegen Kavitation.

Erläuterung der Einstufung

Abbildung 3: Schematische Darstellung des Kühlsystems für Beispiel 48

Beispiel 49. Hohes Strahlungsniveau in einer nuklearen Wiederaufarbeitungsanlage – unterhalb der Skala/Stufe 0

Ereignisbeschreibung

Betriebspersonal und ein Strahlenschutztechniker waren dabei, eine Probenahme in einer Lagereinrichtung für hochradioaktive Flüssigkeiten durchzuführen. Für diese Aufgabe gab es spezielle Anweisungen und Geräte, und die betroffenen Personen waren angemessen ausgebildet und eingewiesen worden. Um die Arbeiten durchführen zu können, war die Anwesenheit von anderem Personal durch einen großen, eindeutig gekennzeichneten und abgesperrten Bereich um den Arbeitsort ausgeschlossen.

Während der Arbeiten führte ein Geräteversagen dazu, dass eine kleine Menge der hochradioaktiven Flüssigkeit in ein nicht abgeschirmtes Rohr gelangte, was zu einem hohen Strahlungsniveau in den umgebenden Bereichen führte.

Alle Mitglieder des Betriebspersonals trugen Personendosimeter mit Alarmfunktion. Als diese zusammen mit mehreren festinstallierten Detektionssystemen in dem Bereich Alarm auslösten, verließen die Personen unmittelbar den Bereich.

Die nachfolgende Auswertung zeigte eine Dosisrate von 350 mSv/h und bei der am stärksten exponierten Person eine Effektivdosis von 350 μSv.

Erläuterung der Einstufung

Beispiel 50. Kumulierte Ganzkörperdosis einer Person des Betriebspersonals oberhalb des Genehmigungswertes – Stufe 1

Ereignisbeschreibung

Die Ganzkörperdosis, die ein Anlagen-Manager während der letzten zwei Wochen im Dezember erhielt, lag geringfügig über dem zulässigen bzw. erwarteten Wert. Infolgedessen überstieg die kumulierte Ganzkörperdosis den zulässigen Jahresgrenzwert, obwohl die Strahlenexposition bei diesen Tätigkeiten gering ist.

Erläuterung der Einstufung

Beispiel 51. Ausfall der Kritikalitätsüberwachung – Stufe 1

Ereignisbeschreibung

Eine routinemäßige Überprüfung der Einhaltung der Betriebsvorschriften in einer Einrichtung zur Brennelementfertigung ergab, dass sechs Brennstofftabletten-Proben nicht vorschriftsmäßig verpackt worden waren. Zusätzlich zu der ordnungsgemäßen Verpackung war jede Probe noch in einen Plastikbehälter verpackt worden. Hinsichtlich des zusätz­lichen Plastikbehälters bestand die Anforderung, dass „kein wasserstoffhaltiges Material zusätzlich zu der erlaubten Verpackung“ in das Lager eingebracht werden durfte. Für das betreffende Brennstoff-Lager war diese Anforderung jedoch nicht eindeutig spezifiziert. Eine anschließende Untersuchung zeigte, dass das Kritikalitäts-Freigabezertifikat schwer zu interpretieren und die zugehörige Kritikalitätsbewertung für ein volles Verständnis der Sicherheitsanforderungen unzureichend waren.

Erläuterung der Einstufung

Beispiel 52. Anhaltender Ausfall der Lüftung in einer Brennelementfertigungsanlage – Stufe 1

Ereignisbeschreibung

Nach einem Ausfall der normalen und der Notbelüftung und einer Nichtbeachtung von Anweisungen war das Betriebspersonal über eine Stunde lang ohne dynamischen Einschluss tätig.

Die Belüftung hat zweierlei Funktion. Erstens leitet sie jegliche Radioaktivität, die in einem geschlossenen Raum freigesetzt werden könnte, zu den überwachten Abluft- und Filterkreisläufen. Zweitens sorgt sie für ein leicht negatives Druckgefälle in den Räumen, um einen Übergang von Radioaktivität in andere Bereiche zu verhindern. Diese Form des Einschlusses nennt sich „dynamischer Einschluss“.

Das Ereignis begann mit dem Ausfall der elektrischen Stromversorgung des normalen Lüftungssystems. Das Notlüftungssystem, das in diesem Fall die Lüftung hätte übernehmen sollen, ging nicht in Betrieb. Eine nachfolgende Untersuchung deutete darauf hin, dass das Versagen des normalen Lüftungssystems sowie die Nichtverfügbarkeit der Notlüftung bei deren Anforderungen auf einem Ausfall aus gemeinsamer Ursache in der Stromversorgung dieser Lüftungssysteme beruhten. Obwohl der Alarm am Kontrollstand anstand, erreichte die Information weder das aufsichtführende Personal noch das Betriebspersonal.

Das Betriebspersonal erfuhr erst eine Stunde nach Schichtwechsel, dass der Alarm ausgelöst worden war.

Die Messungen der atmosphärischen Kontamination, die an allen überwachten Arbeitsplätzen durchgeführt wurden, zeigten keine nachweisbare Erhöhung der atmosphärischen Kontamination.

Erläuterung der Einstufung

Beispiel 53. Versagen des Verriegelungssystems von Abschirmtüren – Stufe 2

Ereignisbeschreibung

Der Störfall ereignete sich, als ein Behälter mit hochradioaktivem verglastem Abfall in eine Zelle transportiert wurde, während gleichzeitig die Abschirmtüren der Zelle nach Wartungsarbeiten noch offenstanden. Die Türen hätten zu diesem Zeitpunkt geschlossen sein müssen. Das Öffnen der Türen wird durch ein Schlüsselsystem, Gammastrahlen-Verriegelungen und programmierbare Logiksteuerungen geregelt. Die ursprüngliche Auslegung des Zugangssteuerungssystems wurde während der Inbetriebnahmephase zweimal modifiziert, um das Zugangssteuerungssystem zu verbessern. Alle vorhandenen Systeme konnten den Transfer hochradioaktiven Materials in die Zelle bei offenstehenden Abschirmtüren nicht verhindern.

Der Zutritt des Personals in diesen Bereich wird durch eine Anweisung geregelt, die das Tragen persönlicher Alarmdosimeter vorschreibt.

Personal, das in der Zelle oder in angrenzenden Bereichen anwesend gewesen wäre, hätte eine bedeutende Strahlenexposition erhalten, wenn es nicht auf den Behältertransport oder die Alarmdosimeter reagiert hätte. Bei diesem Störfall erkannte der Operateur sofort das Problem und schloss die Abschirmtüren, so dass niemand eine zusätzliche Strahlenexposition erhielt.

Die Auslegung des Zugangssteuerungssystems für das Personal wurde während der Inbetriebnahmephase modifiziert. Die Auswirkungen dieser Änderungen wurden aber ungenügend bedacht. Im Einzelnen:

–

Während der Inbetriebsetzung des Zugangssteuerungssystems für die Abschirmtüren der Zelle wurde die Unzulänglichkeit des Schlüsselsystems nicht erkannt.

–

Das programmierbare Steuerungssystem wurde nicht korrekt programmiert und in Betrieb genommen.

–

Die Modifikationen wurden unzureichend untersucht und geprüft, weil ihre sicherheitstechnische Bedeutung falsch eingeschätzt wurde.

–

Die Kommunikation zwischen dem Personal verantwortlich für Auslegung und Inbetriebsetzung war unzureichend.

Der Arbeitsauftrag war abgeschlossen, die Anlage hätte sich wieder im normalen Betriebszustand befinden müssen. Tatsächlich war dies jedoch nicht der Fall.

Das in der Anlage vorgesehene Verfahren für temporäre Anlagenänderungen wurde zu häufig benutzt und ungenügend überwacht. Es war verbesserungsbedürftig.

Die Einweisung und Überwachung für den Zutritt zu aktiven Zellen waren unzureichend.

Erläuterung der Einstufung

Beispiel 54. Leistungsexkursion eines Forschungsreaktors bei Brennelementwechsel – Stufe 2

Ereignisbeschreibung

In einem Forschungsreaktor ereignete sich während eines Brennelementwechsels eine Leistungsexkursion, die zu einer Reaktorschnellabschaltung wegen zu hoher Leistung führte. Es handelte sich um einen kleinen Schwimmbadreaktor. Nach Austausch eines Trimmstab-Steuerelements wurden die Brennelemente wieder in den Kern eingelassen. Nach Beladung mit dem fünften Brennelement wurden die Trimmstäbe gezogen, um zu überprüfen, ob der Reaktor kritisch geworden war. Daraufhin wurden die Stäbe in eine zu 85 % gezogene Stellung verfahren anstatt in die korrekte 40 %-Position (Sicherheitsposition). Beim Einsetzen des sechsten Brennelements war ein blauer Schein sichtbar, und der Reaktor schaltete sich wegen zu hoher Leistung von selbst ab. Das Neutronenfluss-Abschaltsystem war zur Vermeidung einer fehlerhaften Abschaltung abgeschaltet worden, während die bestrahlten Brennelemente im Kern in Position gebracht wurden. Diese Abschaltung war nachfolgend nicht aufgehoben worden. Das Maximum der Leistungstransiente lag schätzungsweise bei etwa 300 % der vollen Leistung. Anweisungen zum Brennelementwechsel werden überprüft und überarbeitet.

Erläuterung der Einstufung

Beispiel 55. Beinahe-Kritikalität in einer nuklearen Wiederaufarbeitungsanlage – Stufe 2

Ereignisbeschreibung

In einer Wiederaufbereitungsanlage für Plutonium trat ein Leck in einer Leitung mit heißem Plutoniumnitrat auf. Über einen Zeitraum von etwa 24 h traten insgesamt 31 kg Plutoniumnitrat in die Zelle, in der sich die Leitung befand, aus. Das Leck wurde bei der täglichen Sichtprüfung entdeckt. Das heiße Plutoniumnitrat lief über die äußere Oberfläche eines heißen Plutoniumverdampfers und tropfte auf den darunterliegenden abschüssigen Edelstahlboden. Während die Flüssigkeit über die verschiedenen Oberflächen lief, verdunstete sie, wobei sich das Plutonium in kristalliner Form am untersten Teil der Leitung sowie am Boden darunter ablagerte. Dabei entstanden stalaktiten- und stalagmitenartige Formen. Die Leckrate war so gering, dass das Nitrat den Detektorsumpf nicht mehr als Flüssigkeit erreichte und das Leck lediglich durch die Sichtprüfung entdeckt wurde. Die Zelle wurde daraufhin dekontaminiert, die Leitung und der Verdampfer wurden ausgetauscht und die Anlage wurde wieder in Betrieb genommen.

Die Menge Plutonium auf der Leitung und am Boden lag nicht über der minimalen kritischen Masse für die zu diesem Zeitpunkt gehandhabte Konzentration des Materials. Wäre das Ereignis jedoch bei der Handhabung höher konzentrierten Materials aufgetreten, wäre die kritische Masse ggf. überschritten worden.

Erläuterung der Einstufung

Das Ereignis ist in zweierlei Hinsicht zu betrachten: erstens bezüglich der Freisetzungen aus der Anlage und zweitens hinsichtlich der Strahlenexposition von Personal.

Mögliche Freisetzungen aus der Anlage

Mögliche Strahlenexposition von Personal

Die Ablaufdiagramme auf den folgenden Seiten (Abbildungen 4 bis 10) stellen schematisch den Ablauf der Einstufung nach INES für alle Ereignisse mit Strahlenquellen und der Beförderung, der Lagerung und der Verwendung radioaktiver Stoffe dar.

Die Ablaufdiagramme sollen den logischen Ablauf aufzeigen, der zur Bewertung der sicherheitstechnischen Bedeutung eines Ereignisses durchzuführen ist. Für diejenigen, die bei der Einstufung von Ereignissen unerfahren sind, bieten sie einen Überblick. Für jene, die mit dem INES-Benutzerhandbuch vertraut sind, bieten sie eine Zusammenfassung des Verfahrens. Den Ablaufdiagrammen sind bei Bedarf erläuternde Anmerkungen und Tabellen hinzugefügt. Allerdings sollten die Ablaufdiagramme nicht für sich allein und ohne die detaillierten Anleitungen in diesem Handbuch verwendet werden.

Zusätzlich zu den Ablaufdiagrammen stehen zwei Beispiellisten (Tabellen 12 und 13) zur Verfügung, um die Einstufung einiger tatsächlich aufgetretener Ereignisse zu illustrieren.

Abbildung 4: Allgemeiner Ablauf der INES-Einstufung

Abbildung 5: Ablauf der Einstufung nach den Auswirkungen auf Mensch und Umwelt (für nähere Erläuterungen siehe Tabelle 3 und Abschnitt 2.4)

Abbildung 6: Ablauf der Einstufung nach den Auswirkungen auf radiologische Barrieren und Überwachungsmaßnahmen in Anlagen und Einrichtungen

Abbildung 7: Allgemeiner Ablauf der Einstufung zur Beurteilung der Beeinträchtigung der Sicherheitsvorkehrungen

Abbildung 8: Ablauf der Einstufung zur Beurteilung der Beeinträchtigung der Sicherheitsvorkehrungen für Ereignisse bei der Beförderung und im Zusammenhang mit radioaktiven Strahlenquellen

Abbildung 9: Ablauf der Einstufung zur Beurteilung der Beeinträchtigung der Sicherheitsvorkehrungen für Ereignisse, insbesondere bei Ereignissen in Leistungsreaktoren während des Betriebs (nähere Erläuterungen siehe Abschnitt 5.1)

Abbildung 10: Ablauf der Einstufung zur Beurteilung der Beeinträchtigung der Sicherheitsvorkehrungen bei Ereignissen in verschiedenen Einrichtungen (Vorgehen bei einem potentiellen Ereignis siehe Abschnitt 6.2.3.2)

Tabelle 12: Beispiele für Einstufung mit INES in kerntechnischen Einrichtungen

Tabelle 13: Beispiele für Einstufung mit INES für Ereignisse mit radioaktiven Quellen und bei der Beförderung

8.1 Quellen des internationalen Handbuchs

[1]

INTERNATIONAL ATOMIC ENERGY AGENCY, Categorization of Radioactive Sources, IAEA Safety Standards Series No. RS-G-1.9, IAEA, Vienna (2005).

[2]

INTERNATIONAL ATOMIC ENERGY AGENCY, The International Nuclear Event Scale (INES) User’s Manual, 2001 Edition, IAEA, Vienna (2001).

[3]

INTERNATIONAL ATOMIC ENERGY AGENCY, Rating of Transport and Radiation Source Events: Additional Guidance for the INES National Officers, Working Material, IAEA-INES WM 04/2006, IAEA, Vienna (2006).

[4]

INTERNATIONAL ATOMIC ENERGY AGENCY, Clarification for Fuel Damage Events, Working Material, IAEA-INES WM/03/2004, IAEA, Vienna (2004).

[5]

INTERNATIONAL ATOMIC ENERGY AGENCY, Dangerous Quantities of Radioactive Material (D-Values), Emergency Preparedness and Response, EPR-D-Values-2006, IAEA, Vienna (2006).

[6]

INTERNATIONAL ATOMIC ENERGY AGENCY, Regulations for the Safe Transport of Radioactive Material – 2005 Edition, IAEA Safety Standards Series No. TS-R-1, IAEA, Vienna (2005).

[7]

INTERNATIONAL NUCLEAR SAFETY ADVISORY GROUP, Safety Culture, Safety Series No. 75-INSAG-4, IAEA, Vienna (1992).

[8]

INTERNATIONAL ATOMIC ENERGY AGENCY, Development of an Extended Framework for Emergency Response Criteria: Interim Report for Comment, IAEA-TECDOC-1432, IAEA, Vienna (2006).

[9]

NUCLEAR REGULATORY COMMISSION, Health Effects Models for Nuclear Power Plant Accident Consequence Analysis, Low LET Radiation, Rep. NUREG/CR-4214, Rev.1, Part II SAND85-7185, NRC, Washington, DC (1989).

[10]

HOPEWELL, J.W., Biological Effects of Irradiation on Skin and Recommendation Dose Limits, Radiat. Prot. Dosimetry 39, 1/3 (1991) 11–24.

[11]

INTERNATIONAL COMMISSION ON RADIOLOGICAL PROTECTION, The Biological Basis for Dose Limitation in the Skin, Publication 59, Ann ICRP 22, 2. Pergamon Press, Oxford (1991).

[12]

INTERNATIONAL COMMISSION ON RADIATION UNITS AND MEASUREMENTS, Dosimetry of External Beta Rays for Radiation Protection, ICRU Report 56, ICRU, Bethesda, MD (1996).

[13]

INTERNATIONAL ATOMIC ENERGY AGENCY, Diagnosis and Treatment of Radiation Injuries, Safety Reports Series No. 2, IAEA, Vienna (1998).

[14]

FOOD AND AGRICULTURE ORGANIZATION OF THE UNITED NATIONS, INTERNATIONAL ATOMIC ENERGY AGENCY, INTERNATIONAL LABOUR ORGANISATION, OECD NUCLEAR ENERGY AGENCY, PAN AMERICAN HEALTH ORGANIZATION, WORLD HEALTH ORGANIZATION, International Basic Safety Standards for Protection against Ionizing Radiation and for the Safety of Radiation Sources, Safety Series No. 115, IAEA, Vienna (1996).

[15]

INTERNATIONAL ATOMIC ENERGY AGENCY, Generic procedures for assessment and response during a radiological emergency, IAEA-TECDOC-1162, IAEA, Vienna (2000).

[16]

INTERNATIONAL ATOMIC ENERGY AGENCY, IAEA Safety Glossary: Terminology Used in Nuclear Safety and Radiation Protection (2007 Edition), IAEA, Vienna (2007).

[17]

INTERNATIONAL NUCLEAR SAFETY ADVISORY GROUP, Defence in Depth in Nuclear Safety, INSAG-10, IAEA, Vienna (1996).

[18]

INTERNATIONAL ATOMIC ENERGY AGENCY, Basic Safety Principles for Nuclear Power Plants, Safety Series No. 75, INSAG-3, IAEA, Vienna (1999).

[19]

INTERNATIONAL ATOMIC ENERGY AGENCY, Code of Conduct on the Safety and Security of Radioactive Sources, IAEA, Vienna, (2004).

8.2 Zusätzliche Quellen des deutschen INES-Benutzerhandbuchs

[GRS-111]

Kotthoff, Klaus, Internationale Bewertungsskala für bedeutende Ereignisse in kerntechnischen Einrichtungen – Benutzerhandbuch, GRS-111, 1994

[IAEA-2008]

The International Nuclear and Radiological Event Scale, User’s Manual, 2008 Edition, IAEA, Wien, 2009

9.1 Einführung

In diesem Anhang wird die Herleitung der Multiplikationsfaktoren erläutert, die zur Berechnung der durch ein bestimmtes Nuklid freigesetzten Radioaktivität im Vergleich zum Referenznuklid I-131 herangezogen werden. In dieser Analyse sind die Werte der Inhalationskoeffizienten den BSS [14] entnommen worden, während die Dosisfaktoren für die Ablagerung am Boden dem IAEA-TECDOC-162 entstammen. Beide Veröffentlichungen werden zurzeit überarbeitet, diese Überarbeitungen werden allerdings kaum einen Einfluss auf die Angaben zur radiologischen Äquivalenz in Tabelle 14 haben.

Während andere Abschnitte dieses Handbuchs die D-Werte verwenden, um die relative Bedeutung verschiedener Isotope miteinander zu vergleichen, verfolgt dieser Anhang einen anderen Ansatz. Der Grund dafür ist, dass die Berechnung von D-Werten auf Szenarien begründet ist, die sich nur auf die Handhabung und die Beförderung radioaktiver Strahlenquellen beziehen. Die hier berechneten Faktoren für die radiologische Äquivalenz beruhen dagegen auf Annahmen, die auf Szenarien für Unfälle in kerntechnischen Einrichtungen basieren.

9.2 Methodik

Die Szenarien und Methoden sind unten zusammengefasst.

Für Aktivitätsfreisetzungen in die Atmosphäre wurden die folgenden zwei Komponenten hinzugefügt:

–

Effektive Dosis für die Bevölkerung (Erwachsene), D_inh durch Inhalation einer Aktivitätskonzentration in einem Einheitsvolumen der Luft [14], mit einer Atemrate von 3.3 x 10^–4 m³ · s^–1, und

–

Effektive Dosis für Erwachsene durch Ablagerung von Radionukliden am Boden integriert über 50 Jahre einschließlich Berücksichtigung von Aufwirbelung, Verwitterung und Bodenrauigkeit [15]. Die Ablagerung am Boden ist mit der luftgetragene Konzentration durch die Ablagerungsgeschwindigkeit (V_g) von 10^–2 m · s^–1 für elementares Jod und 1.5 x 10^–3 m · s^–1 für andere Stoffe verknüpft. Die integrierte Dosis über 50 Jahre pro am Boden abgelagerte Aktivität jeden Radionuklids auf einer Einheitsfläche wird verwendet (D_gnd (Sv pro Bq · m^–2)).

Ein Dosisbeitrag durch Ingestion wird nicht in die Berechnung einbezogen, da bei einem Unfall Verzehrseinschränkungen die betroffene Personen vor signifikanten Dosen schützen.

Die Gesamtdosis (D_tot), die sich aus der Aktivitätsfreisetzung Q und der zeitintegrierten, bodennahen Radionuklidkonzentration in der Luft von X (Bq · s · m^–3 pro freigesetztes Bq) ergibt, berechnet sich aus:

D_tot = Q.X. (D_inh · Atemrate + V_g · D_gnd)

Für jedes Radionuklid wurde die relative radiologische Äquivalenz zu I-131 berechnet als Verhältnis von D_tot/(Q.X).

Bei einer Kontamination innerhalb der Anlage wird nur der Inhalationspfad in Betracht gezogen und die Inhalationskoeffizienten beziehen sich auf beruflich strahlenexponierte Personen.

9.3 Ausgangsdaten

Die Inhalationskoeffizienten für die Berechnungen sind den BSS [14] entnommen, mit Ausnahme von U_nat, das in diesem Dokument nicht enthalten ist. Die Werte für U_nat sind berechnet worden durch Summierung der Anteile von U-238, U-235, U-234 und ihrer Hauptzerfallsprodukte, unter Verwendung der Anteile von U-234 (48,9 %), U-235 (2,2 %) und U-238 (48,9 %). Verfügt ein Radionuklid über mehrere Lungenabsorptionsklassen, wird der höchste Wert des Inhalationskoeffizienten genommen, außer für Uran, bei dem alle Werte angegeben sind.

Die über 50 Jahre integrierte Dosis durch Ablagerungen am Boden wurden dem IAEA-TECDOC-1162 [15] entnommen.

9.4 Ergebnisse

Die Multiplikationsfaktoren sowohl für Kontaminationen innerhalb einer Anlage wie auch für Freisetzungen in die Atmosphäre erhält man indem man den Wert für jedes Radionuklid durch den entsprechenden Wert für I-131 dividiert. Diese Werte sind in den Tabellen 14 und 15 angegeben. Tabelle 16 listet die Werte für die Multiplikationsfaktoren auf, die zur Berechnung der radiologischen Äquivalenz nach INES benutzt werden sollten (d. h. zur Vereinfachung gerundete Zahlenwerte).

Tabelle 14: Faktoren für die Kontamination innerhalb einer Anlage (nur Inhalation)

Tabelle 15: Freisetzung in die Atmosphäre: Dosis durch Ablagerung am Boden und Inhalation

Tabelle 16: Radiologische Äquivalenz

Im Zweifel sollte der konservativste Wert verwendet werden.

Die Kriterien für deterministische Schäden in Abschnitt 2.3.1 beziehen sich auf beobachtete deterministische Strahlenwirkungen. Sollte jedoch zur Zeit der Einstufung noch nicht bekannt sein, ob ein deterministischer Schaden aufgetreten ist, können die Angaben in diesem Anhang dazu verwendet werden, eine dosisbezogene Einstufung vorzunehmen.

10.1 Deterministische Schäden mit Todesfolge

Die Wahrscheinlichkeit für einen unmittelbaren Todesfall durch ionisierende Strahlung – mit unterstützender medizinischer Behandlung – wird in Tabelle 17 für eine Reihe von Expositionen zur Verfügung gestellt, basierend auf Ref. [10].

10.2 Andere deterministische Schäden

Bei der Beurteilung von externer Strahlenexposition werden Schwellenwerte in Form von RBW-gewichteter absorbierter Dosis ausgedrückt (siehe Tabelle 18). Für interne Strahlenexposition sind die Schwellenwerte in Form von RBW-gewichteter absorbierter Folgedosis angegeben (siehe Tabelle 19). Werte für die relative biologische Wirksamkeit (RBW) sind in Tabelle 20 angegeben. Alle Tabellen sind vereinfacht den IAEA EPR-D-Werten 2006 (5) entnommen.

Tabelle 17: Wahrscheinlichkeit eines deterministischen Schadens mit Todesfolge durch Strahlenexposition

Tabelle 18: Schwellenwerte für RBW-gewichtete Dosis durch äußere Exposition

Tabelle 19: Grenzwerte für RBW-gewichtete Dosis bei interner Exposition

Tabelle 20: RBWs für schwere deterministische Strahlenschäden

Die Angaben sind dem IAEA-Guide über die Kategorisierung von radioaktiven Strahlenquellen entnommen [1]. In dieser Publikation und in ergänzenden Dokumenten [5] werden zwei Arten von D-Werten betrachtet. Die D-Werte definieren ein Aktivitätsniveau ab dem eine Strahlenquelle als gefährlich eingestuft wird und ein beachtliches Potential besteht, dass durch sie schwere deterministische Schäden verursacht werden, sollte sie nicht sicher gehandhabt werden.

Der D₁-Wert ist die Aktivität eines Radionuklids in einer Strahlenquelle, die – falls sie unkontrolliert ist aber nicht freigesetzt wird (d. h. sie bleibt umschlossen) – höchstwahrscheinlich zu schweren deterministischen Gesundheitsschäden führt.

Der D₂-Wert ist die Aktivität eines Radionuklids in einer Strahlenquelle, die – falls sie unkontrolliert ist und freigesetzt wird – höchstwahrscheinlich zu schweren deterministischen Gesundheitsschäden führt.

Die empfohlenen D-Werte sind dann die am meisten limitierenden der D₁- und D₂-Werte.

In Übereinstimmung mit dieser Vorgehensweise wurden zwei Sätze von D-Werten im Anhang zur Verfügung gestellt. In Kapitel 2 – Kriterien für Freisetzung von radioaktiven Stoffen – werden die D₂-Werte angewandt (Tabelle 21). In Kapitel 4 – Kriterien für das Konzept der Beeinträchtigung der Sicherheitsvorkehrungen – sollten die allgemeinen D-Werte verwendet werden (Tabelle 22).

11.1 D₂-Werte für Radionuklide zur Anwendung mit den in Kapitel 2 verwendeten Kriterien

Tabelle 21: D₂-Werte für ausgewählte Isotope

11.2 D-Werte für Radionuklide zur Anwendung mit den in Kapitel 4 verwendeten Kriterien

Tabelle 22: D-Werte für ausgewählte Isotope

11.3 Berechnung von Summenwerten

Wenn mehrere radioaktive Strahlenquellen oder Versandstücke betroffen sind, sollte eine Gesamtsumme für den D-Wert berechnet werden. Basierend auf der Anleitung zur Kategorisierung von Strahlenquellen [1] und den Empfehlungen für die sichere Beförderung von radioaktiven Stoffen [6], werden die Gesamtwerte berechnet als:

1/D = Σf_i/D_i

wobei D der Gesamtwert für D ist, f_i ist der Anteil des Isotops i, und D_i ist der D-Wert für das Isotop i, oder

A/D = ΣA_i/D_i

wobei A die Gesamtaktivität und Ai die Aktivität des Isotops i ist.

Diese Angaben sind der IAEA Kategorisierung für radioaktive Strahlenquellen [1] entnommen.

Tabelle 23: Kategorisierung radioaktiver Strahlenquellen anhand typischer Anwendungsbereiche

Der sichere Betrieb von Kernkraftwerken wird durch die Aufrechterhaltung der drei grundlegenden Sicherheitsfunktionen gewährleistet:

–

Kontrolle der Reaktivität,

–

Kühlung der radioaktiven Stoffe,

–

Einschluss der radioaktiven Stoffe.

Dies kann auf den allgemeinen Umgang mit radioaktiven Stoffen erweitert werden. Dabei ist der sichere Umgang mit diesen Stoffen gewähreistet, wenn die drei grundlegenden Sicherheitsfunktionen sichergestellt sind:

–

Kontrolle der Reaktivität,

–

Kühlung der radioaktiven Stoffe,

–

Begrenzung der Strahlung (z. B. Einschluss der radioaktiven Stoffe und Abschirmung).

Für einige Tätigkeiten kommen nicht all diese Sicherheitsfunktionen zum Tragen (z. B. für die industrielle Radiographie ist nur die dritte Sicherheitsfunktion relevant).

Jede der Sicherheitsfunktionen wird durch geeignete Auslegung, zuverlässigen Betrieb und eine Reihe von technischen Vorkehrungen und administrativen Regelungen gewährleistet. Das Konzept der gestaffelten Sicherheitsvorkehrungen trifft auf jeden dieser Aspekte zu. Ein mögliches Versagen von Komponenten, menschliche Fehler und das Eintreten nicht geplanter Abläufe soll damit beherrscht werden.

Das Konzept der gestaffelten Sicherheitsvorkehrungen besteht daher aus einer Kombination von konservativer Auslegung, Qualitätssicherung, Überwachungs- und Instandhaltungsmaßnahmen sowie einer übergreifenden Sicherheitskultur, die die Wirksamkeit jeder dieser aufeinanderfolgenden Ebenen verstärkt.

Das Konzept der gestaffelten Sicherheitsvorkehrungen ist elementar für die Auslegung und den Betrieb größerer kerntechnischer und radiologischer Einrichtungen. Die IAEA Safety Series No. 75, INSAG-3 [18], Basic Safety Principles for Nuclear Power Plants, definiert:

„Um mögliche menschliche und technische Fehler zu beherrschen, ist ein Konzept von gestaffelten Sicherheitsvorkehrungen vorgesehen, auf mehreren Sicherheitsebenen einschließlich aufeinanderfolgender Barrieren, die eine Freisetzung radioaktiver Stoffe in die Umgebung verhindern sollen. Das Konzept beinhaltet den Schutz der Barrieren durch Maßnahmen, die Schäden an der Anlage und den Barrieren selbst verhindern sollen. Es schließt weiter Maßnahmen ein, um die Bevölkerung und die Umwelt vor Schäden zu schützen für den Fall, dass diese Barrieren nicht voll wirksam sind.“

Das Konzept der gestaffelten Sicherheitsvorkehrungen kann auf verschiedene Art und Weise betrachtet werden. Zum Beispiel kann die Anzahl der zur Verfügung gestellten Barrieren zur Vermeidung einer Freisetzung radioaktiver Stoffe berücksichtigt werden (z. B. Kernbrennstoffmatrix, Brennstabhüllen, Reaktordruckbehälter, Sicherheitseinschluss). Man kann aber auch die Anzahl der Systeme in Betracht ziehen, die versagen müssten bis sich ein Unfall ereignen könnte (z. B. Notstromfall mit Ausfall aller erforderlichen Dieselmotoren).

Im Rahmen der Sicherheitsspezifikation einer kerntechnischen Einrichtung wird zwischen Betriebssystemen und Sicherheitsvorkehrungen unterschieden. Sollten Betriebssysteme ausfallen, werden zusätzliche Sicherheitsvorkehrungen die Sicherheitsfunktionen erhalten. Sicherheitsvorkehrungen können sowohl passive oder aktive Systeme, die redundant aufgebaut und deren Verfügbarkeiten durch die Sicherheitsspezifikationen festgelegt sind, als auch administrative Maßnahmen wie Betriebsvorschriften sein.

Die Häufigkeit der Anforderung von Sicherheitsfunktionen kann durch hochwertige Auslegung, einen sicheren Betrieb der Anlage, ein umfangreiches Instandhaltungsprogramm und detaillierte Anlagenüberwachung reduziert werden. Zum Beispiel kann die Eintrittshäufigkeit eines Versagens des Primärkreislaufs eines Reaktors, oder von wichtigen Rohrleitungen und Behältern in einer Wiederaufbereitungsanlage durch vorgegebene Anforderungen an die Auslegung, Qualitätskontrolle, betrieblichen Beschränkungen und Anlagenüberwachung reduziert werden. Genauso wird die Häufigkeit von Transienten durch geeignete Betriebsvorschriften und Regeleinrichtungen verringert. Betriebs- und Begrenzungssysteme tragen zu einer Reduzierung der Anforderungshäufigkeit der Sicherheitseinrichtungen bei.

INSAG-10 [17] (nach der Entwicklung von INES verfasst) beschreibt die Umsetzung der gestaffelten Sicherheitsvorkehrungen bei Auslegung und Betrieb viel genauer. Tabelle 24 zeigt, wie die Begriffe, die in INSAG-10 beschrieben wurden, in die Einstufung mit INES für die gestaffelten Sicherheitsvorkehrungen übernommen wurden.

Tabelle 24: Gestaffelte Sicherheitsvorkehrungen in Auslegung und Betrieb

Jedem Reaktor ist eine eigene Liste und Klassifizierung von auslösenden Ereignissen im Rahmen der Auslegungsüberlegungen zugeordnet. Dieses Kapitel enthält einige Beispiele auslösender Ereignisse wie sie in den Auslegungsüberlegungen in der Vergangenheit für Kernreaktoren gebraucht wurden, zugeordnet in die Klassen: zu erwartende Ereignisse, mögliche Ereignisse, unwahrscheinliche Ereignisse.

14.1 Druckwasserreaktoren

14.1.1 Ereignisklasse 1 (zu erwartende Ereignisse)

–

ReaktorschnellabschaItung

–

Unbeabsichtigte Verdünnung des chemischen Absorbers im Reaktorkühlmittel (z. B. Entborierung)

–

Ausfall der Speisewasserversorgung

–

Druckentlastung des Reaktorkühlkreislaufs durch unbeabsichtigte Betätigung einer aktiven Komponente (z. B. eines Sicherheits- oder Abblaseventils am Druckhalter)

–

Unbeabsichtigte Druckabsenkung im Reaktorkühlkreislauf durch die betriebliche Sprühung oder die DruckhalterhiIfssprühung

–

Leckagen im Wasser-Dampf-Kreislauf, bei denen ein betriebsübliches Abschalten und Abfahren möglich ist

–

Dampferzeugerheizrohrleckage, die oberhalb der nach technischer Spezifikation zulässigen Leckage liegt, aber geringer ist als die Leckage, welche dem vollständigen Abriss eines Heizrohres entspricht

–

Leckagen im Reaktorkühlkreislauf, bei denen ein betriebsübliches Abschalten und Abfahren möglich ist

–

Ausfall der Netzversorgung einschließlich Spannungs- und Frequenzstörungen

–

Betrieb mit einem falsch angeordneten oder falsch orientierten Brennelement

–

Unbeabsichtigtes Herausziehen eines einzelnen Steuerelementes während des Brennelementwechsels

–

Geringfügiger BrennelementhandhabungsfehIer

–

Vollständiger Ausfall oder vollständige Unterbrechung des Zwangsumlaufs im Reaktorkühlkreislauf, ausgenommen Blockage des Laufrades einer Hauptkühlmittelpumpe

14.1.2 Ereignisklasse 2 (mögliche Ereignisse)

–

Kleiner Kühlmittelverluststörfall (LOCA)

–

Vollständiger Bruch eines Dampferzeugerheizrohres

–

Absturz eines abgebrannten Brennelementes ohne Beeinträchtigung anderer Brennelemente Leckage aus dem Lagerbecken für abgebrannte Brennelemente, welche die Kapazität der normalen Nachspeisesysteme überschreitet

–

Schnelle Druckentlastung des Reaktorkühlkreislaufs durch Abblasen von Reaktorkühlmittel über mehrere Druckhaltersicherheits- oder abblaseventile

14.1.3 Ereignisklasse 3 (unwahrscheinliche Ereignisse)

–

Großer Kühlmittelverluststörfall (LOCA), einschließlich des größten in der druckführenden Umschließung zu unterstellenden Bruchs

–

Auswurf eines Steuerelementes

–

Großer Bruch im Wasser-Dampf-Kreislauf, einschließlich des größten zu unterstellenden Bruchs

–

Absturz eines abgebrannten Brennelementes auf andere abgebrannte Brennelemente

14.2 Siedewasserreaktoren

14.2.1 Ereignisklasse 1 (zu erwartende Ereignisse)

–

Reaktorschnellabschaltung

–

Unbeabsichtigtes Ausfahren eines Steuerelementes während des Leistungsbetriebs

–

Ausfall der Hauptspeisewasserversorgung

–

Versagen der Reaktordruckregelung

–

Leckage im Frischdampfsystem

–

Leckage im Reaktorkühlkreislauf, bei der ein betriebsübliches Abschalten und Abfahren möglich ist

–

Ausfall der Netzversorgung einschließlich Spannungs- und Frequenzstörungen

–

Betrieb mit einem falsch angeordneten oder falsch orientierten Brennelement

–

Unbeabsichtigtes Herausziehen eines einzelnen Steuerelementes während des Brennelementwechsels

–

Geringfügiger Brennelementhandhabungsfehler

–

Verlust des Zwangsumlaufs im Reaktor

14.2.2 Ereignisklasse 2 (mögliche Ereignisse)

–

Kleiner Kühlmittelverluststörfall (LOCA)

–

Frischdampfleitungsbruch

–

Absturz eines abgebrannten Brennelementes ohne Beeinträchtigung anderer Brennelemente Leckage aus dem Lagerbecken für abgebrannte Brennelemente, welche die Kapazität der normalen Nachspeisesysteme überschreitet

–

Schnelle Druckentlastung des Reaktorkühlkreislaufes durch Abblasen von Reaktorkühlmittel über mehrere Sicherheits- oder Entlastungsventile

14.2.3 Ereignisklasse 3 (unwahrscheinliche Ereignisse)

–

Großer Kühlmittelverluststörfall (LOCA) einschließlich des größten in der druckführenden Umschließung zu unterstellenden Bruchs

–

Herausfallen eines einzelnen Steuerelementes aus dem Reaktorkern

–

Großer Bruch einer Frischdampfleitung

–

Herabfallen eines abgebrannten Brennelementes auf andere abgebrannte Brennelemente

14.3 Schwerwassermoderierte Druckwasserreaktoren (CANDU)

14.3.1 Ereignisklasse 1 (zu erwartende Ereignisse)

–

Reaktorschnellabschaltung

–

Unbeabsichtigte Verdünnung des chemischen Absorbers im Moderator

–

Ausfall der Hauptspeisewasserversorgung

–

Ausfall der Druckregelung des Reaktorkühlkreislaufs (nach oben oder nach unten) aufgrund eines Versagens oder unbeabsichtigten Ansprechens aktiver Komponenten (z. B. Einspeise-, Entnahme- oder Entlastungsarmatur)

–

Dampferzeugerheizrohrleckage, die oberhalb der nach technischer Spezifikation zulässigen Leckage liegt, aber geringer als die Leckage ist, die dem vollständigen Abriss eines Heizrohres entspricht

–

Leckagen im Reaktorkühlkreislauf, bei denen ein betriebsübliches Abschalten und Abfahren möglich ist

–

Leckagen im Wasser-Dampf-Kreislauf, bei denen ein betriebsübliches Abschalten und Abfahren möglich ist

–

Ausfall der Netzversorgung einschließlich Spannungs- und Frequenzstörungen

–

Betrieb mit einem falsch angeordneten Brennelement

–

Geringfügiger Brennelementhandhabungsfehler

–

Ausfall einer oder mehrerer Hauptkühlmittelpumpen

–

Ausfall der Speisewasserversorgung für einen oder mehrere Dampferzeuger

–

Durchsatzstörung in einem Brennelementkanal (weniger als 70 %)

–

Ausfall der Moderatorkühlung

–

Ausfall der rechnergesteuerten Regelung

–

Unvorhergesehener örtlicher Reaktivitätsanstieg

14.3.2 Ereignisklasse 2 (mögliche Ereignisse)

–

Kleiner Kühlmittelverluststörfall (einschließlich Bruch eines Druckrohres)

–

Vollständiger Abriss eines Dampferzeugerheizrohres

–

Schnelle Druckentlastung des Reaktorkühlkreislaufs durch Abblasen von Reaktorkühlmittel über mehrere Sicherheits- oder Entlastungsventile

–

Starke Beschädigung von bestrahltem Brennstoff oder Kühlungsausfall an der Belademaschine, sofern sie bestrahlten Brennstoff enthält

–

Leckage am Lagerbecken für bestrahlten Brennstoff, welche die Kapazität der normalen Nachspeisesysteme überschreitet

–

Speisewasserleitungsbruch

–

Durchsatzstörung in einem Brennelementkanal (mehr als 70 %) Verlust von Moderatorflüssigkeit

–

Ausfall des Kühlsystems für die Kühlung des Abschirmschildes des Reaktors

–

Versagen der Nachwärmeabfuhr

–

Unvorhergesehener Anstieg der Gesamtreaktivität

–

Ausfall der Nebenkühlwasserversorgung (Niederdrucksystem, Hochdrucksystem oder Zwischenkühlsystem)

–

Ausfall der Steuerluftversorgung

–

Ausfall von Eigenbedarfs- und/oder Notstromversorgung (Klasse IV, III, II oder I)

14.3.3 Ereignisklasse 3 (unwahrscheinliche Ereignisse)

–

Großer Kühlmittelverluststörfall (LOCA) einschließlich des größten in der druckführenden Umschließung zu unterstellenden Bruchs

–

Großer Bruch im Wasser-Dampf-Kreislauf einschließlich des größten zu unterstellenden Bruchs

14.4 RBMK Reaktoren (LWGR)

14.4.1 Ereignisklasse 1 (zu erwartende Ereignisse)

–

Reaktorschnellabschaltung

–

Fehlfunktion in der Reaktorleistungsregelung einschließlich zugehöriger Neutronenflussinstrumentierung

–

Ausfall der Hauptspeisewasserversorgung

–

Druckverlust im Reaktorkühlsystem (Primärkreis) infolge unbeabsichtigter Betätigung einer aktiven Komponente (z. B. Sicherheits- und Entlastungsventil)

–

Primärkreisleckage, bei der ein betriebsübliches Abschalten und Abfahren möglich ist

–

Reduzierter Kühlmitteldurchsatz durch eine Gruppe von Druckröhren für Brennelemente und von Druckröhren für Steuerelemente

–

Reduzierte Heliumgemischumwälzung im Graphitmoderator des Reaktors

–

Ausfall der Netzversorgung einschließlich Spannungs- und Frequenzstörungen

–

Betrieb mit einem falsch orientierten oder falsch angeordneten Brennelement

–

Geringfügiger Brennelementhandhabungsfehler

–

Druckentlastung einer Druckröhre für Brennelemente bei der Beladung

14.4.2 Ereignisklasse 2 (mögliche Ereignisse)

–

Kleiner Kühlmittelverluststörfall

–

Absturz eines abgebrannten Brennelementes

–

Leckage am Lagerbecken für abgebrannte Brennelemente, welche die Kapazität der normalen Nachspeisesysteme übersteigt

–

Leck am Reaktorkühlkreislauf durch Abblasen von Reaktorkühlmittel über mehrere Sicherheits- oder Entlastungsventile

–

Bruch einer Druckröhre für Brennelemente oder für Steuerelemente

–

Unterbrechung des Kühlmitteldurchsatzes in einer Druckröhre für Brennelemente Unterbrechung des Durchsatzes im Kühlsystem für die Druckröhren der Steuerelemente

–

Vollständiger Verlust der Heliumgemischumwälzung im Graphitmoderator des Reaktors Brennelementwechselstörfall bei Betrieb des Reaktors

–

Vollständiger Ausfall der Eigenbedarfsversorgung

–

Nicht erlaubte Einspeisung von kaltem Wasser aus dem Notkühlsystem in den Reaktor

14.4.3 Ereignisklasse 3 (unwahrscheinliche Ereignisse)

–

Großer Kühlmittelverluststörfall einschließlich des größten in der druckführenden Umschließung zu unterstellenden Bruchs

–

Bruch einer Frischdampfleitung vor dem Frischdampfisolationsventil einschließlich des größten zu unterstellenden Bruchs

–

Absturz eines abgebrannten Brennelementes auf andere abgebrannte Brennelemente

–

Vollständiger Ausfall der Nebenkühlwasserversorgung

–

Brennelementauswurf aus einer Druckröhre einschließlich Auswurf aus der Brennelementwechselmaschine

14.5 Gasgekühlte Reaktoren

14.5.1 Ereignisklasse 1 (zu erwartende Ereignisse)

–

Reaktorschnellabschaltung

–

Ausfall der Hauptspeisewasserversorgung

–

Sehr geringe Druckentlastung im Reaktorkühlkreislauf

–

Dampferzeugerheizrohrleckage

–

Ausfall der Netzversorgung einschließlich Spannungs- und Frequenzstörungen

–

Unbeabsichtigtes Herausziehen eines oder mehrerer Steuerelemente

–

Geringfügiger Brennelementhandhabungsfehler

–

Begrenzte Unterbrechung des Zwangsumlaufs im Reaktorkühlkreislauf

14.5.2 Ereignisklasse 2 (mögliche Ereignisse)

–

Kleiner Druckentlastungsstörfall

–

Unbeabsichtigtes Herausziehen einer Gruppe von Steuerelementen

–

Vollständiger Abriss eines Dampferzeugerheizrohres

–

Absturz einer Brennelementhaltervorrichtung (nur bei AGR)

–

Schließen der Leitschaufeln am Eintritt der Kühlmittelgebläse (nur bei AGR)

–

Schließversagen des Verschlusses eines Brennelementkanals (nur bei AGR)

14.5.3 Ereignisklasse 3 (unwahrscheinliche Ereignisse)

–

Großer Druckentlastungsstörfall

–

Bruch einer Frischdampfleitung

–

Bruch einer Speisewasserleitung