Sicherheitsphilosophie bei risikoreichen Anlagen
Zu vielen risikoreichen Anlagen gibt es Sicherheitsphilosophien mit den Grundprinzipien Redundanz (mehrfach vorhandene gleichartige Schutzsysteme) und Diversität (unterschiedliche Schutzsysteme zur Beherrschung gleicher oder ähnlicher Störungen). Es ist das Zugeständnis, dass Fehler und Fehleinschätzungen nicht auszuschließen sind und deshalb eine fehlerfreundliche Gestaltung notwendig ist.
Redundanz und Diversität bei kerntechnischen Anlagen
Für kerntechnische Anlagen ist das Konzept der gestaffelten Abwehrmaßnahmen entwickelt worden. Zu wesentlichen Auslegungsmerkmalen gehören auch hier die Prinzipien Redundanz und Diversität.
Das Deutsche Atomforum e. V. führt dazu aus:
Vorsorglich wird bei der Auslegung von Kernkraftwerken immer vom Zusammentreffen von Ereignissen mit ungünstigen Umständen ausgegangen. Daher werden bei der Planung sowie beim Bau der Anlage zur Erreichung einer größtmöglichen Wirksamkeit der Sicherheitsfunktionen die Auslegungsprinzipien Redundanz, Diversität, räumliche Trennung, Automatisierung, Autarkie und das so genannte Fail-Safe-Prinzip umgesetzt.
– Redundanzprinzip zum Schutz gegen einzelne Fehler und Ausfälle. Es gewährleistet, dass technische Sicherheitseinrichtungen aus mehreren gleichen und von einander unabhängigen Teilsystemen bestehen und davon mehr installiert sind, als zur Ausführung der Sicherheitsfunktion benötigt werden. Deshalb sind beispielsweise die bei Leckage-Störfällen benötigten Notkühlsysteme so ausgelegt worden, dass zwei von vier (bei manchen Kernkraftwerken eines von drei) Teilsystemen die Sicherheitsfunktion erfüllen können.
-Diversitätsprinzip zum Schutz gegen systematische Fehler und durch gemeinsame Ursache bedingte Ausfälle. Diversität bedeutet, dass für dieselbe Sicherheitsfunktion nebeneinander Systeme mit unterschiedlichen Wirkungsweisen zur Verfügung stehen. Beispielsweise kann eine Abschaltung des Reaktors nicht nur durch Einfahren der Steuerstäbe, sondern auch durch Einspeisen von Borsäure erreicht werden……
Redundanz und Diversität im StandAG
Auch in der Begründung zum StandAG (Drucksache 17/13471 vom 14. 05. 2013) werden die Begrifflichkeiten Redundanz und Diversität bemüht (Seite 21, linke Spalte, vierter Absatz):
Zu den Kriterien gehören zentrale Festlegungen wie z. B. der Nachweiszeitraum, die Bedeutung geologischer Barrieren im Verhältnis zu technischen Barrieren, die zentralen Elemente des Langzeitsicherheitsnachweises, Anforderungen an die Redundanz und Diversität sowie quantitative Anforderungen an das Einschlussvermögen des einschlusswirksamen Gebirgsbereichs.
Redundanz und Diversität in der AG 3 nicht behandelt
Bisher hat sich die für die Kriterien zuständige AG 3 nicht mit den Sicherheitsprinzipien Redundanz und Diversität befasst. Sie hat ungeprüft das Modell des einschlusswirksamen Gebirgsbereichs (ewG) des AkEnd übernommen und zum Ausgangspunkt ihrer ersten zusammenhängenden Kriterienliste vom 29.12.2015 gemacht. Es wurde nicht die Frage behandelt, ob das Modell des ewGs eine passende Grundlage für die Suche nach einem Endlagerstandort mit dem geringstmöglichen Risiko für Mensch und Umwelt darstellt. Insbesondere wurde nicht geprüft, inwieweit innerhalb dieses Modellansatzes Redundanz und Diversität berücksichtigt werden können.
ewG-Modell und Wasserhaushaltsgesetz
Das ewG-Modell geht zurück auf die Arbeiten des AkEnd, der damit den Forderungen des Wasserhaushaltsgesetzes nachgekommen ist – siehe AkEnd-Empfehlungen auf Seite 14. Es stellt sich jedoch die Frage, ob es nicht weitere wesentliche Normen gibt, die es zu erfüllen gilt?
Endlager als kerntechnische Anlage
Bei einem Endlager für radioaktive Abfälle handelt es sich um eine kerntechnische Anlage, bei der insbesondere auch die weitgehenden sicherheitsphilosophischen Ansätze für diese Anlagen wie Redundanz und Diversität berücksichtigen werden sollten, auch wenn sie – oder gerade weil sie – gemessen an dem zurzeit vorgeschriebenen Nachweiszeitraum von 1 Mio. Jahren nach kurzer Zeit aus der Atomaufsicht entlassen wird/werden muss.
Redundanz und Diversität bei der Endlagersuche – Modellanforderungen
Bei einem tiefengeologischen Endlager bestehen die Abwehrmaßnahmen nach Ablauf des möglichen Rückholzeitraums nur noch in der möglichen Bergung und schließlich in den geologischen Barrieregesteinen mit entsprechend ausgeprägten Sicherheitsfunktionen wie mechanischer Einschluss und Absorption der Radionuklide sowie der Abschirmung der Direktstrahlung.
Bei der Suche nach dem Standort mit geringstem Risiko für Mensch und Umwelt sollte ein Modell eingesetzt werden, das Kriterien erlaubt, die sowohl Redundanzen als auch Diversitäten bewerten und diese Bewertungen sich positiv in der schließlichen Rangfolge auswirken.
Redundanz kann im ewG-Modell abgebildet werden
Das ewG-Modell erfüllt dies durchaus im Hinblick auf Redundanzen. So ist zum Beispiel das Kriterium
Der einschlusswirksame Gebirgsbereich muss über eine räumliche Ausdehnung verfügen, die größer ist als das für das Endlager rechnerisch erforderliche Volumen (siehe 5.1.2, Seite 24)
bisher lediglich mit flexibler Endlagerauslegung und Rückholkonzepten begründet. Eine wesentliche Begründung sollte darin liegen, dass über den im Nachweiszeitraum unbedingt notwendigen Einschlussbereich hinaus einschlusswirksame Gesteinsbereiche vorhanden sein sollten, die Redundanzen zum notwendigen Einschlussbereich darstellen. Diese Gesteinsbereiche sind aber aufgrund dieser Rolle dann von der Flexibilisierung bei der Endlagerauslegung auszunehmen.
Diversität erfordert Erweiterung des ewG-Modells
Bei der Diversität ist solch ein Ansatz nicht gegeben, wenn nicht das ewG-Modell verlassen wird. Es muss ein erweitertes Modell als Grundlage gewählt werden, in dem mehrere gestaffelten ewGs (diversitäres ewG-Modell) abgebildet werden können, die auf unterschiedlichen einschlusswirksamen Gesteinen mit unterschiedlichen Sicherheitsfunktionen beruhen. Die Zähligkeit dieser gestaffelten ewGs ist dann als Abwägungskriterium Diversität in die Gewichtungsgruppe 1 aufzunehmen (Bewertungsskala: größer 2 = günstig, gleich 2 = bedingt günstig, gleich1 = weniger günstig).
Sicherheitskriterien 1983
Schon die Sicherheitskriterien für die Endlagerung radioaktiver Abfälle in einem Bergwerk von 1983 versuchen, Diversität und Redundanz zu fassen:
3.2 Mehrbarrierenkonzept
Das Mehrbarrierenkonzept hat sich in der Technik bewährt. Beim Endlager wird zum sicheren Abschluß gegen die Biosphäre eine Kombination folgender möglicher Barrieren betrachtet
– Abfallform
– Verpackung
– Versatz
– Endlagerformation
– Deckgebirge/Nebengestein.
Durch einzelne oder die Summe dieser Barrieren muß sichergestellt werden, daß nach menschlichem Ermessen keine unzulässige Freisetzung von radioaktiven Stoffen in die Biosphäre erfolgt Je nach unterstelltem Störfall trägt die einzelne Barriere ihren Anteil dazu bei, die Ausbreitung radioaktiver Stoffe ausreichend zu verhindern bzw. zu verzögern.
Salzstudie der BGR und danach
Daran knüpfen die Ausführungen in der Salzstudie von 1995 an (Seite 18):
Eine flächenhafte Überdeckung des Caprock einer Salzstruktur mit wasserhemmenden Unterkreidetonen und einer ungestörten Decke aus Sedimenten der Oberkreide und des Alttertiärs (z. B. Rupel-Tone) würde ein optimales geologisches Barriere-System darstellen…
Dies wird aber seitens der BGR inzwischen mit der Begründung zurückgenommen, dass aufgrund der Erweiterung des Nachweiszeitraums von 10 Tausend Jahre auf 1 Million Jahre und den zu erwartenden Eiszeitszenarien eine solches Deckgebirge keine Rolle mehr spiele. Auf mögliche Freisetzungen in dem Zeitraum bis zur nächsten Eiszeit wird dabei nicht eingegangen, siehe aber Vorläufige Sicherheitsanalyse Gorleben (VSG) Seite 211 bis 222.
Sicherheitsanforderungen 2010
Auch in den Sicherheitsanforderungen an die Endlagerung wärmeentwickelnder radioaktiver Abfälle von 2010 wird dieses aufgegriffen:
8.7 Das Einschlussvermögen des Endlagers muss auf verschiedenen Barrieren mit unterschiedlichen Sicherheitsfunktionen beruhen. Mit Blick auf die Zuverlässigkeit des Einschlusses ist das Zusammenspiel dieser Barrieren in ihrer Redundanz und Diversität zu optimieren. Dabei sind das Gefährdungspotenzial der Abfälle und die unterschiedliche Wirkung der Barrieren in den verschiedenen Zeitbereichen zu berücksichtigen. Die Sicherheit des Endlagers nach seiner Stilllegung ist demnach durch ein robustes, gestaffeltes Barrierensystem sicherzustellen, das seine Funktionen passiv und wartungsfrei erfüllt und das seine Funktionstüchtigkeit selbst für den Fall in ausreichendem Maße beibehält, falls einzelne Barrieren nicht ihre volle Wirkung entfalten.
Begrifflichkeit Deckgebirge/Nebengebirge nicht mehr explizit erwähnt
Was jedoch nicht mehr explizit erwähnt wird, ist die Begrifflichkeit Deckgebirge/Nebengebirge. Folgerichtig wird in der Vorläufigen Sicherheitsanalyse Gorleben (VSG) das Deckgebirge lediglich nützlich bei der Verhinderung kryogener Klüften gesehen (Seite 298):
Als weitere potenzielle Störungen wurde im Rahmen der Integritätsanalysen die Bildung tiefwirkender „kryogener“ Kälterisse untersucht. Die Simulation einer schnellen Abkühlung der Erdoberfläche um 14,5 °C innerhalb von 100 Jahren zeigte, dass sich aufgrund der thermischen Abschirmwirkung des Deckgebirges die Temperaturänderungen nicht bis in die Salzstruktur durchpausen /KOC 12/…..
Beschränkung auf den einen und alleinigen einschlusswirksamen Gebirgsbereich
Es wird sich ganz klar beschränkt auf den einen und alleinigen einschlusswirksamen Gebirgsbereich (Seite 229f.):
Der im Vorhaben VSG für den Standort ausgewiesene einschlusswirksamen Gebirgsbereich umfasst die geologische Barriere, mit einer Mächtigkeit des Hauptsalzes der Staßfurtserie (z2HS) von 50 m Hauptsalz in alle Richtungen um die Einlagerungsbereiche herum sowie die verfüllten und verschlossenen Einlagerungsbereiche selbst und die Streckenverschlüsse (Abb. 5.33).
Erwähnt sei, dass hier in horizontaler Richtung praktisch auch kein Platz mehr für Redundanz bleibt, weil die 50m-Grenze bis an Kali- oder Anhydritstrukturen reicht.
Geotechnische Barrieren in der VSG
Diversität spielt in der VSG bei der geologischen Barriere keinerlei Rolle. Lediglich bei den geotechnischen Barrieren werden Redundanzen und Diversitäten zugrunde gelegt, siehe Beispiele auf Seite 160 bzw. Seite 162:
Das Sicherheitskonzept des Vorhabens VSG gibt vor, dass die Schachtverschlussbauwerke so ausgelegt werden, dass ihre Dichtwirkung auf mehreren Dichtelementen aus unterschiedlichen Materialien beruht, die aufgrund ihres jeweiligen Aufbaus teilweise diversitäre Funktionsweisen besitzen…
Aufgrund der hohen hydraulischen Widerstände würden die im Zusammenhang mit der Maßnahme M5 verbundenen Forderungen auch dann erfüllt, wenn es zu einem korrosionsbedingten Versagen eines der vier Dichtelemente käme, womit eine Funktionsredundanz gegeben ist…
Verletzung des Optimierungsgrundsatzes des Strahlenschutzes
Aufgrund der in den Sicherheitsanforderungen festgelegten Optimierung des Zusammenspiels der Barrieren in ihrer Redundanz und Diversität müssen bei der Suche nach einem Standort mit geringstem Risiko für Mensch und Umwelt die möglichen Redundanzen und Diversitäten geologischer Barrieren eine tragende Rolle spielen. Die Standortsuche stellt ja die Optimierung der geologischen Barrierewirkung im Sinne des Optimierungsgrundsatzes des Strahlenschutzes dar. Wenn hierbei Redundanz und Diversität keine Rolle spielen sollen, wird gegen diesen Grundsatz verstoßen.
Nachweis der Nichtexistenz diversitärer geologischer Barrieren liegt nicht vor
Nur wenn eindeutig nachgewiesen wird, dass es in Deutschland keine geologische Situation gibt, wo redundante und diversitäre geologische Barrieren möglich sind, könnte auf diese Optimierungsaspekte bei der Standortsuche verzichtet werden. Dieser Nachweis liegt nicht vor. Im Gegenteil: Es gibt deutliche Anzeichen, dass diversitäre geologische Barrieren gefunden werden können. Dann stellt sich allein die Frage, ob die anderen zu berücksichtigende Kriterien sich an diesen Standorten so schlecht darstellen, dass auf Diversität verzichtet werden muss?