Meldepflichtiges Ereignis im KKW Krümmel am 28. Juni 2007

Das meldepflichtige Ereignis im Kernkraftwerk Krümmel am 28. Juni 2007 bestand aus einem Transformatorbrand, in dessen Folge es zu einer nicht vorgesehenen Reaktorschnellabschaltung (RESA) und zu einem nicht vorgesehenen Ausfall der Hauptspeisepumpen kam. Diese beiden Systemfehler führten zur Einstufung als meldepflichtiges Ereignis. Auf der Internationalen Bewertungsskala für nukleare Ereignisse fallen sie in die niedrigste Kategorie (INES 0). Die Notkühlsysteme funktionierten auslegungsgemäß, jedoch zeigten sich im Verlauf weitere Schwächen in Organisation und Technik (Missverständnis in der Schaltwarte, Eindringen von Brandrauch, Ausfall eines Archivierungssystems). In den Medien wurde ausführlich über das Ereignis berichtet; die Informationspolitik des Betreibers wurde zum Teil heftig kritisiert.

Transformatorbrand Am 28. Juni 2007 ereignete sich auf dem Gelände des Kernkraftwerks Krümmel ein Brand an einem der beiden Maschinentransformatoren. Die Maschinentransformatoren transformieren die Generatorspannung des Kraftwerks von 27 kV auf das Spannungsniveau des Hochspannungsnetzes von 380 kV. Als Ursache für den Brand gilt ein Kurzschluss innerhalb des Transformators, der zum Entzünden des Transformatorenöls führte.Tagesspiegel vom 29. Juni 2007

Löscharbeiten Die Löscharbeiten umfassten die Phasen „Brandbekämpfung“ und „Nachlöscharbeiten“. Die Brandbekämpfung begann 5 Minuten nach dem Ausbruch des Feuers am 28. Juni 2007 um 15:07 Uhr mit dem Eintreffen der kraftwerkseigenen Feuerwehr. Um 15:15 Uhr trafen die externen Feuerwehreinheiten aus den Standorten Geesthacht und Grünhof-Tesperhude am Kraftwerksgelände ein. Während der Brandbekämpfung waren insgesamt 107 Feuerwehrleute mit insgesamt 16 Einsatzfahrzeugen vor Ort. Um 22:00 Uhr desselben Tages wurde die Phase der Brandbekämpfung mit dem Einleiten der Nachlöscharbeiten abgeschlossen. Die zur Unterstützung angeforderten externen Feuerwehreinheiten hatten am 28. Juni 2007 um 23:55 Uhr das Kraftwerksgelände verlassen. Mit dem Ende der Nachlöscharbeiten am 30. Juni 2007 um 15:45 Uhr wurde der Einsatz der kraftwerkseigenen Feuerwehr beendet. Es kam dabei zu keinem Personenschaden.

Parallel zur Brandbekämpfung wurde am 28. Juni 2007 um 18:10 Uhr mit der Entsorgung des durch Transformatorenöl und schaumbildende Substanzen verunreinigten Löschwassers begonnen. Insgesamt wurden 1600 m³ verunreinigtes Löschwasser entsorgt. Durch das Schließen der Anlagenentwässerungen wurden die umweltbelastenden Stoffe in Löschmittel und Transformatorenöl in den Auffangeinrichtungen des Kraftwerks zurückgehalten, so dass keine wasserbelastenden Stoffe in die Elbe eingeleitet wurden oder in das Erdreich eindringen konnten.

mini|27-kV-Generatorlastschalter des KKW Krümmel

Reaktorschnellabschaltung

Das Kernkraftwerk Krümmel überträgt seine elektrische Leistung über zwei parallel geschaltete Maschinentransformatoren in das 380-kV-Hochspannungsnetz. Aufgrund des Kurzschlusses innerhalb eines der beiden Maschinentransformatoren, der auch Auslöser für die Entzündung des Transformatorenöls und den sich anschließenden Brand war, wurde das Kraftwerk von seinem 380-kV-Netz getrennt, um den Stromfluss aus dieser Richtung zu unterbrechen. Da der Generator nach der Trennung vom 380-kV-Netz die von ihm bereitgestellte elektrische Energie nicht mehr abführen konnte, wurde das Kraftwerk unmittelbar nach diesem Vorgang abgeschaltet. Dies geschah durch Auslösung der Reaktorschnellabschaltung, RESA.

mini|380-kV-Leistungsschalter in der Schaltanlage des KKW Krümmel

Für die Auslösung der Reaktorschnellabschaltung durch das Überwachungssystem des Kernkraftwerks, den Reaktorschutz, besteht Meldepflicht gegenüber der atomrechtlichen Aufsichtsbehörde. Grundlage hierfür ist das Kriterium N 2.5.7 der AtSMV „Anforderung von Sicherheitseinrichtungen (dazu gehört das Reaktorschnellabschaltsystem) durch das Reaktorschutzsystem“.Atomrechtliche Sicherheitsbeauftragten- und Meldeverordnung Der Betreiber kam dem durch schriftliche Mitteilung des meldepflichtigen Ereignisses N01/07 an das MSGF (Ministerium für Soziales, Gesundheit, Familie, Jugend und Senioren des Landes Schleswig-Holstein) in Kiel am 3. Juli 2007 nach.

Die vollständige Umschaltung der kraftwerksinternen Stromversorgung auf das 110-kV-Fremdnetz durch das Öffnen des zweiten 380-kV-seitigen Leistungsschalters ist auf die Empfindlichkeit der elektrischen Schutzeinrichtungen zurückzuführen. Nach Überprüfung dieser Schutzeinrichtungen kommt der Betreiber in seinem Hauptbericht zu dem Schluss, die Sensitivität dieser Schutzeinrichtungen nicht zu verringern.

Da das Kraftwerk auch nach seiner Abschaltung weiterhin elektrische Energie benötigt, erfolgt eine Umschaltung auf ein Reservenetz, das 110-kV-Fremdnetz. Dieser Umschaltvorgang ist mit einer Spannungsunterbrechung von 1,5 s verbunden. Der im Rahmen der Berichterstattung verschiedentlich zitierte „Stromausfall“ bezieht sich auf diese technisch erforderliche Spannungsunterbrechung. Die Warte des Kraftwerks ist von dieser Spannungsunterbrechung nicht betroffen, da die dort befindlichen Anzeigen innerhalb der Spannungspause von 1,5 s durch Batterien versorgt werden und unterbrechungslos verfügbar sind.

Reaktorspeisepumpe

Nachdem die Umschaltung des Eigenbedarfs (das ist der Strom, den das Kraftwerk zum Betrieb seiner Systeme selbst benötigt) auf das 110-kV-Fremdnetz erfolgt war, schalteten die Reaktorspeisepumpen nicht automatisch wieder zu. Die Steuerung der Reaktorspeisepumpen war nicht für einen solchen Ereignisablauf konzipiert, wie er sich nach dem Kurzschluss innerhalb des Transformators darstellte. Die Reaktorspeisepumpen stellen während des normalen Leistungsbetriebs die Wasserzufuhr zu dem Reaktor sicher. Da die Bespeisung des Reaktors eine der wichtigsten Aufgaben zur Gewährleistung der nuklearen Anlagensicherheit darstellt, besitzt jedes Kernkraftwerk eine Vielzahl von Sicherheitssystemen, in der Regel sind dies Pumpen, die den Reaktor in jedem erdenklichen Zustand auf einfachem Weg mit Kühlmittel bespeisen können. Die Reaktorspeisepumpen gehören nicht zu diesen Sicherheitssystemen, da sie aufgrund ihrer hohen Leistungsaufnahme auch nicht den Anforderungen entsprechen, die an Sicherheitssysteme gestellt werden. Ein Ausfall der Reaktorspeisepumpen zieht jedoch in jedem Fall den Einsatz eines der Sicherheitssysteme nach sich, um den Reaktor weiterhin zu bespeisen.

Die betriebliche Steuerung der Reaktorspeisepumpen wurde dahingehend erweitert, dass bei Ausfällen im Bereich der Eigenbedarfsversorgung mit dem vorgefundenen zeitlichen Ablauf die automatische Wiederzuschaltung der Reaktorspeisepumpen gewährleistet ist.

Da der Bespeisung des Reaktors eine große Bedeutung zukommt, ist der Ausfall der betrieblichen Reaktorspeisepumpen das zweite Kriterium, welches Gegenstand des meldepflichtigen Ereignisses N01/07 ist. Das Kriterium N 2.5.5 verlangt eine Meldung des Kraftwerksbetreibers an die Aufsichtsbehörde, wenn mehr als eine „Hauptspeisewasserpumpe“ (Reaktorspeisepumpe) ausfällt.

Auf der internationalen Skala zur Bemessung der Schwere von Ereignissen in Kernkraftwerken, INES, finden der Transformatorenbrand und die anschließenden Auffälligkeiten keine Berücksichtigung. Meldepflichtige Ereignisse dieser Form werden dadurch gekennzeichnet, dass sie gemäß INES in der Stufe „Null“ eingeordnet werden. Diese Einstufung besagt, dass dem Ereignis keine oder eine sehr geringe sicherheitstechnische Bedeutung beigemessen wird.

mini|Das Reaktorgebäude von vorne

Reaktordruck, Reaktorfüllstand

Nach dem Ausfall der betrieblichen Reaktorspeisepumpen wurde der Reaktor von der für diesen Fall vorgesehenen Hochdruck-Einspeisepumpe des Sicherheitssystems bespeist. Die Automatik zum Start dieser Hochdruck-Einspeisepumpe wird bei Unterschreitung des Reaktorfüllstands von 11,92 m ausgelöst. Der Reaktorfüllstand dient als „Schalter“, der bei einem Wert von 11,92 m die Hochdruck-Einspeisepumpe ein- und nach dem Erreichen eines Füllstandswertes von 14,07 m wieder ausschaltet. Gleichzeitig mit dem Start des Hochdruck-Einspeisesystems werden die von dem Reaktor abgehenden Frischdampfleitungen geschlossen. Mit dem Schließen der Frischdampfleitungen kann kein Dampf mehr in Richtung Turbine bzw. Turbinenkondensator abströmen, so dass sich der Reaktordruck erhöht. Zur Druckbegrenzung öffnet bei Erreichen eines Reaktordrucks von 74 bar automatisch ein Sicherheits- und Entlastungsventil und baut den Reaktordruck bis auf einen Wert von 69 bar ab, bevor es automatisch wieder schließt. Ohne Eingriff eines Reaktorfahrers wiederholt sich dieser Vorgang, wobei sich die Zeitintervalle zwischen dem Schließen und Öffnen der Sicherheits- und Entlastungsventile mit der Abnahme der Nachzerfallsleistung vergrößern.

Die Sicherheitssysteme des Kernkraftwerks erfüllten ihre Funktion bestimmungsgemäß. Es traten keine Abweichungen oder Auffälligkeiten auf.

Druckentlastung des Reaktors

Im weiteren Verlauf des Ereignisses öffnete ein Reaktorfahrer für ca. vier Minuten zwei Sicherheits- und Entlastungsventile und senkte den Druck des Reaktors von 65 bar auf 20 bar ab. Da durch die Absenkung des Druckes der Reaktor zusätzlich durch weitere Niederdruck-Pumpen bespeist werden kann, ist diese Maßnahme für die Anlagensicherheit unbedenklich. Gleichzeitig wird bei dieser Maßnahme die Temperatur des Kühlwassers im Reaktor von ca. 280 °C auf 220 °C abgesenkt. Dieser verhältnismäßig schnelle „Abkühlvorgang“ ist unter definierten Betriebszuständen der Anlage zu vermeiden. Die dem Betriebszustand angemessene Druckabsenkung von 65 bar auf 20 bar erfolgt über einen Zeitraum von ca. 1,5 h. Das Missverständnis zwischen Schichtleiter und Reaktorfahrer über die Art der Druckabsenkung ist auf diese beiden Fahrweisen zurückzuführen.

Die Umstände, die zu dem Missverständnis führten, wurden arbeitspsychologisch im Rahmen einer MTO-Analyse (Mensch, Technik, Organisation) untersucht. Eine aus dieser Analyse abgeleitete Maßnahme ist die Einführung einer Kommandosprache „3-Wege-Kommunikation“, die für das Schichtpersonal bei Schalthandlungen verbindlich ist.

Brandgas in der Warte

Der Aufstellungsort der Maschinentransformatoren befindet sich ca. 20 m unterhalb der Lufteinlassöffnungen des Schaltanlagengebäudes. Da auch die Zuluft für die Kraftwerkswarte von der Lüftungsanlage des Schaltanlagengebäudes zur Verfügung gestellt wird, drang zu Beginn des Ereignisses Brandgas in die Warte ein, bis die Wartenlüftung auf Umluftbetrieb geschaltet war. Der Schichtleiter ordnete daraufhin an, die im Wartenbereich vorgehaltenen umluftunabhängigen Atemschutzgeräte, Pressluftatmer, in der Warte bereitlegen zu lassen. Nachdem die erforderlichen Maßnahmen zur Störungsbeherrschung getroffen waren, setzte ein Reaktorfahrer vorübergehend eines der Atemschutzgeräte auf. Die übrigen in der Warte tätigen Personen versahen ihre Tätigkeit über den gesamten Zeitraum ohne Atemschutzgeräte.

Datenerfassung, Prozessrechner

Innerhalb der ersten Minute nach dem Kurzschluss in dem Maschinentransformator erzeugten die Überwachungseinrichtungen der verschiedenen Systeme mehr als 6500 Meldungen, die in vorläufigen Rechnerspeichern archiviert wurden. Bevor die Meldungen in den endgültigen Archiven abgespeichert werden, werden sie noch mit Zeitstempeln versehen und entsprechend der Zeitstempel einsortiert. Dies ist erforderlich, da aufgrund unterschiedlicher Signallaufzeiten die Eingangsreihenfolge von Meldungen von der tatsächlichen Historie des Ereignisablaufes abweichen kann.