Sicherheit von Kernkraftwerken soll Mensch und Umwelt vor den schädlichen Auswirkungen ionisierender Strahlung schützen, die von Anlagen zur nuklearen Energieerzeugung ausgehen. Sie ist entscheidend wichtig bei Auslegung, Genehmigung, Bau und Betrieb der Anlagen. Insbesondere muss die Freisetzung gefährlicher radioaktiver Stoffe verhindert werden, Unfälle müssen vermieden und Auswirkungen trotzdem eintretender Unfälle auf die Anlage selber beschränkt sein.
Daraus ergeben sich drei zentrale technische Aufgaben (Schutzziele): Kontrolle der Reaktivität, siehe Reaktivitätsstörfall, z. B. Nuklearkatastrophe von Tschernobyl Kühlung des Reaktorkerns, siehe Kühlmittelverluststörfall, Nachzerfallswärme, Kernschmelze, z. B. Nuklearkatastrophe von Fukushima Sicherer Einschluss des radioaktiven Materials.
Die Reaktorsicherheitsforschung beschäftigt sich damit, wie diese Aufgaben erfüllt werden können und wie eine Anlage gegen Bedrohungen dieser Schutzziele (z. B. Naturkatastrophen, menschliche Fehler, technisches Versagen, Terrorismus) geschützt werden kann. Die Reaktorsicherheit wird von den Herstellern, Aufsichtsbehörden und Kraftwerksbetreibern ständig untersucht und weiterentwickelt. Üblicherweise werden durch die Behörden Sicherheitsauflagen erteilt, deren Einhaltung die Hersteller und Betreiber nachweisen müssen.
Die konkreten Schutzmaßnahmen hängen wesentlich ab von der eingesetzten Technologie (z. B. Leichtwasserreaktor, Hochtemperaturreaktor, Brutreaktor), vom geographischen Standort und von der nationalen Gesetzgebung. Man unterscheidet zwischen organisatorischen, baulichen und technischen sowie zwischen aktiven und passiven Schutzmaßnahmen und -systemen. Grundlegende Konzepte sind unter anderem die konservative und redundante Auslegung, Tiefensicherheit (Defense-in-Depth) sowie probabilistische und deterministische Sicherheitsanalyse.
Ob an Auslegung, Bau, Betrieb und Kontrolle ausreichende Maßstäbe angelegt werden und überhaupt angelegt werden können, ist insbesondere im deutschsprachigen Raum seit Jahrzehnten Gegenstand intensiver öffentlicher wie wissenschaftlicher Auseinandersetzungen. Nicht zuletzt hat sich anhand mehrerer schwerer Unfälle gezeigt, dass eine einhundertprozentige Sicherheit nicht erreichbar ist, es verbleibt – wie bei allen Technologien – ein Restrisiko. In Deutschland berät die Reaktor-Sicherheitskommission (RSK) zu dem Thema.
Grundlegendes Fast alle kommerziell betriebenen Kernkraftwerke sind Leichtwasserreaktoren. Sie setzen auf kleinstem Raum sehr hohe Leistungen frei (Leistungsdichte bis zu 100 MW/m³) und arbeiten unter hoher Betriebstemperatur und hohem Betriebsdruck. Diese Merkmale bringen hohe Risiken mit sich. Schwerwasserreaktoren haben hingegen eine vergleichsweise geringere Leistungsdichte, haben aber wirtschaftliche Nachteile, vor allem aufgrund der hohen Kosten schweren Wassers.
Im Reaktorkern eines Druckwasserreaktors wird Wasser typischerweise bei einem Druck von etwa 150 bar auf etwa 320 Grad Celsius erhitzt. In einem großen Kernreaktor befinden sich 80–150 Tonnen radioaktiver Kernbrennstoffe, die einschließlich ihrer Spaltprodukte nur in kleinsten Mengen entweichen dürfen. Zudem haben fast alle Kernkraftwerke Abklingbecken, in denen oft noch größere Mengen radioaktiven Materials – meist abgebrannte Brennelemente – lagern. Auch ein Versagen der Kühlung der Abklingbecken kann zum Austritt von radioaktiven Stoffen führen.
Als sehr sicher galt viele Jahre der Kugelhaufenreaktor. Sein geistiger Vater war Farrington Daniels; Rudolf Schulten war 1957–1964 für Planung und Bau des Versuchskernkraftwerk AVR (elektrische Nettoleistung 13 MW) in Jülich verantwortlich. Im Jahr 2000 räumten die Betreiber ein, dass die beta-Kontamination (Strontium-90) des AVR-Reaktors die höchste aller Reaktoren und Nuklearanlagen weltweit ist und zudem in der ungünstigsten Form – nämlich in Bruchstücken oder im Abrieb der Graphitkugeln staubgebunden – vorliegt.Mark Hibbs, Decommissioning costs for German Pebble Bed Reactor escalating, NUCLEONICS WEEK, Vol. 43, No. 27, S. 7 (July 2002) Auch ein größerer Reaktor, der THTR Hamm-Uentrop – schonDie Planungsarbeiten erfolgten also schon parallel zur Inbetriebnahme des kleineren Kugelhaufenreaktors AVR in Jülich, so dass Betriebserfahrungen des AVR kaum in das THTR-Konzept einfließen konnten. ab 1967 geplant und 1987 in Betrieb genommen – wurde gut zwei Jahre später stillgelegt. Schulten und andere Befürworter betonten immer wieder die angeblich inhärente Sicherheit dieses Reaktortyps, die nicht durch aktive Maßnahmen bzw. Techniken „produziert“ werden müsse. Offenbar ignorierten oder verkannten sie zwei ernste Probleme dieses Reaktortyps: die Kugelbrennelemente sind brennbar (Entzündungstemperatur etwa 650 °C); ein Unfall mit Luftzutritt in den Reaktor hätte einen Graphitbrand mit hoher Radioaktivitätsfreisetzung zur Folge gehabt. Leckagen des Dampferzeugers mit Wasser- und/oder Dampfzutritt in den Kern führen zu chemischen Reaktionen mit Graphit, bei denen brennbare und explosive Gase (Wasserstoff und Kohlenmonoxid) entstehen. Außerdem kann es zum Anstieg der Reaktivität kommen. Dennoch nahmen 2021 zwei vollwertige Kugelhaufenreaktoren mit je 100 MW Leistung in China den Betrieb auf.
Anforderungen Der Auslegungsstörfall wird als „größter anzunehmender Unfall“ (GAU) bezeichnet. Wenn dieser GAU beherrscht wird, so meinte man früher, könne man auch alle anderen Störfälle sicher beherrschen. Heute weiß man, dass das keineswegs immer so ist. An Stelle des einen (1) Auslegungsstörfalles ist ein ganzes Spektrum von Auslegungsstörfällen getreten, deren Beherrschung einzeln nachgewiesen werden muss. In Deutschland sind die Anforderungen in den so genannten Sicherheitskriterien und Störfall-Leitlinien detailliert geregelt. Diese legen fest, dass die Beherrschung stets auch dann gewährleistet sein muss, wenn ein Gerät durch einen zusätzlichen, vom auslösenden Störereignis unabhängigen (technischen oder menschlichen) Fehler funktionsunfähig sein sollte (Einzelfehlerkriterium) und wenn ein zweites Teil-Gerät gerade in Reparatur sein sollte (Reparaturkriterium). Diese beiden Kriterien stellen eine Präzisierung des Redundanzprinzips dar, demzufolge stets mehr Einrichtungen zur Störfallbeherrschung vorhanden sein müssen als eigentlich benötigt werden. Außerdem müssen die Störfallbeherrschungseinrichtungen von den Betriebseinrichtungen getrennt und untereinander entmascht sein, d. h. sie müssen voneinander unabhängig (ohne gemeinsame Komponenten) und räumlich oder baulich getrennt angeordnet sowie diversitär ausgeführt sein, um Ausfälle aufgrund gleicher Ursache zu vermeiden. Zusammen mit anderen Anforderungen, wie dem Fail Safe Prinzip (ein Fehler wirkt sich möglichst in die sichere Richtung aus) und Automatisierung (Vermeiden von Personalhandlungen unter Zeitdruck), wird insgesamt ein hohes Maß an Zuverlässigkeit der Störfallbeherrschung angestrebt.
Die Nuklearkatastrophe von Fukushima (ab März 2011) war in vielen Ländern Anlass, die Risiken neu bzw. unvoreingenommener als zuvor zu betrachten und zu bewerten.siehe auch Artikel Atom-Moratorium Die EU erstellte eine umfangreiche Studie, die als „Stresstest“ bekannt wurde (siehe unten).
Theoretische Grundlagen Schutzziele Grundlegendes Schutzziel für jedes Kernkraftwerk ist der Schutz von Mensch und Umwelt vor den schädlichen Auswirkungen ionisierender Strahlung. Dessen Erreichung kann man mit den folgenden vier Unterzielen anstreben:
Solange die erste Barriere (Kristallgitter des Brennstoffs) erhalten bleibt, wird der weit überwiegende Teil der Radioaktivität sicher zurückgehalten. Durch das Vorhandensein der anderen Barrieren bedeutet eine Zerstörung des Kristallgitters noch nicht automatisch die Freisetzung großer Radioaktivitätsmengen. Eine Zerstörung des Kristallgitters in größerem Umfang ist technisch nur durch Schmelzen des Reaktorkerns (oder eines erheblichen Teils davon) möglich. Daraus ergibt sich das zweite Schutzziel: Kühlung der Brennelemente. Da die sicherheitstechnischen Kühlsysteme nur für die Abfuhr der Nachzerfallswärme (und nicht für den Leistungsbetrieb) ausgelegt sind, muss der Reaktor immer sicher abschaltbar sein. Drittes Schutzziel: Kontrolle der Reaktivität durch Unterbrechung der Kettenreaktion. Falls die Abschaltungsmöglichkeit des Reaktors doch ausfällt, muss sichergestellt sein, dass die Kettenreaktion nicht unkontrolliert eskaliert. Dies wird durch „negative Reaktivitätskoeffizienten“ gewährleistet. Ein negativer Temperaturkoeffizient der Reaktivität (Dopplerkoeffizient) bewirkt z. B., dass bei Erwärmung des spaltbaren Materials dessen Reaktivität automatisch sinkt. Ein negativer Dopplerkoeffizient kann durch die Reaktorkonstruktion sowie durch die Gestaltung der Brennelemente erreicht werden. Die EURATOM-Verträge legen fest, dass in den Vertragsstaaten nur Kernreaktoren mit negativem Dopplerkoeffizienten zum Betrieb zugelassen werden dürfen.
Werden diese vier Ziele ständig erreicht, sind große radiologische Unfälle nicht möglich. Bei ihrer Verletzung ist ein solcher nicht mehr zuverlässig ausschließbar.
Methodik Das Risiko von Kernkraftwerken besteht im Wesentlichen darin, dass durch kleinere oder größere Störfälle beziehungsweise Unfälle radioaktive Stoffe in die Umgebung austreten können. Die Radioaktivitätsfreisetzung im Normalbetrieb ist so klein, dass ihr Anteil im Vergleich zur natürlichen Strahlenbelastung (im Wesentlichen kosmische Strahlung und terrestrische Strahlung) vernachlässigbar ist und sich darauf zurückzuführende gesundheitliche Schäden nach heutigem Wissensstand nicht beobachten oder im Falle der Wiederaufbereitungsanlagen nicht erklären ließen. Im Folgenden wird daher nur auf die Störfallsicherheit von Kernkraftwerken eingegangen.
Beim Betrachten von Un- und Störfällen bzw. bei der Ursachenanalyse geht man von der Annahme aus, dass ein gravierendes Versagen von technischen Einrichtungen nicht zufällig eintritt, sondern aufgrund einer Kette (oder mehrerer Ketten) von Ursachen und Wirkungen. Sind diese Wirkungsketten erkannt, können sie gezielt unterbrochen werden. Wird ein solches Unterbrechen mehrfach und mit voneinander unabhängigen Maßnahmen vorgesehen, kann man insgesamt eine sehr hohe Sicherheit erreichen, da Fehler in einzelnen Schritten durch Funktionieren anderer Schritte aufgefangen werden können. Dabei ist es gleichgültig, ob diese Fehler aus einem Versagen von Komponenten oder Systemen („technische Fehler“) oder auf Fehlhandlungen von Menschen („Bedienfehler“, „menschliche Fehler“, auch „organisatorische Fehler“) resultieren (oder aus beidem). Man spricht von einem „mehrstufigen, fehlerverzeihenden Sicherheitskonzept“.
Dieser Ansatz wird bei Kernkraftwerken weltweit verfolgt. Wie erfolgreich er ist, hängt von seiner Umsetzung ab. Im Folgenden wird das systematische Vorgehen bei modernen, westlichen Leichtwasserreaktoren beschrieben. Bei anderen Reaktoren, speziell solchen aus dem früheren Ostblock, liegen deutlich andere Verhältnisse vor.
Barrierenprinzip rechts|300px|Aufbau eines Reaktorgebäudes
Das Barrierenprinzip ist ein zentrales Element der Sicherheit jedes Kernkraftwerks. Es umfasst mehrere Barrieren, die die im Reaktorkern entstehende radioaktive Strahlung abschirmen und den unkontrollierten Austritt radioaktiver Stoffe verhindern sollen. Im Falle eines Stör- oder Unfalls ist es das oberste Ziel, die Integrität mindestens einer dieser Barrieren zu erhalten. Die Schwere eines Stör- oder Unfalls wird danach beurteilt, wie stark die Barrieren in ihrer Funktion beeinträchtigt sind. Zu diesen Barrieren gehören:
Das Kristallgitter des Brennstoffes [innerhalb 6] Bei den Kernspaltungen in einem Reaktor entstehen die Spaltprodukte gewissermaßen als Fremdatome im Kristallgitter des Urandioxids. Solange dieses intakt bleibt, werden die meisten Spaltprodukte sehr zuverlässig im Kristallgitter zurückgehalten. Dies gilt nicht für die gasförmigen Spaltprodukte (etwa 5–10 % Anteil).