Grundsätzliche Sicherheitsprobleme

beim Hochtemperaturreaktor und besondere Defizite beim THTR-300

Lothar Hahn - Juni 1986

Zur angeblichen "inhärenten" Sicherheit des HTR

Seit den Anfängen der Hochtemperaturreaktor-Entwicklung wird von interessierter Seite versucht, der Öffentlichkeit zu suggerieren, der HTR sei "inhärent" sicher. Diese geschickt eingefädelte Werbestrategie hat ohne Zweifel einen gewissen Erfolg gehabt, denn sie hat zu einer – selbst in der Atomenergiedebatte – beispiellosen Desinformation geführt. Wie kaum eine andere Behauptung der Atomindustrie beruht sie auf wissenschaftlich nicht haltbaren Annahmen und auf unzutreffenden Schlussfolgerungen.

In der Technik, insbesondere der Kerntechnik, wird eine Anlage als inhärent (=anhaftend, innewohnend) sicher bezeichnet, wenn sie allein aufgrund physikalischer und chemischer Gesetzmäßigkeiten in ihrem auslegungsgemäßen Zustand bleibt und wenn sie bei der Störfallbeherrschung nicht auf das Funktionieren aktiver Sicherheitseinrichtungen und nicht auf das Eingreifen von Personal angewiesen ist (so sinngemäß die Definition von Alwin Weinberg).

Diese Eigenschaften besitzt bekanntlich der Leichtwasserreaktor nicht. Es ist aber auch völlig eindeutig, dass praktisch alle bisher ernsthaft verfolgten HTR-Konzepte nicht inhärent sicher sind und dass insbesondere der THTR-300 diese Eigenschaft nicht besitzt. Beispielsweise sind zwei der zentralen sicherheitstechnischen Erfordernisse, die Abschaltung und die Nachwärme-abfuhr (und damit letztlich auch die Spaltproduktrückhaltung) auf aktive Sicherheitseinrichtungen und/oder Handgriffe angewiesen, wenn schwere Unfälle und erhebliche Freisetzungen des (bezogen auf die Leistung mit dem Leichtwasserreaktor etwa gleich großen) radioaktiven Inventars verhindert werden sollen.

Als Beweis für die Behauptung von der angeblichen inhärenten Sicherheit werden von der HTR-Industrie meist einige Eigenschaften genannt, in denen sich der HTR vom Leichtwasserreaktor unterscheidet und die sich angeblich sicherheitstechnisch vorteilhaft auswirken. Davon wird der HTR aber noch lange nicht inhärent sicher, denn neben angeblich günstigen weist der HTR auch sicherheitstechnisch nachteilige Eigenschaften auf, die andere Reaktortypen nicht besitzen. Die am häufigsten genannten angeblichen Vorzüge des HTR werden im folgenden dargestellt und kommentiert:

• Eigenschaft: Niedriges Verhältnis Leistungsdichte zu Wärmekapazität, d. h. langsamerer Temperaturanstieg im (Vergleich zum Leichtwasserreaktor oder Brüter) bei Kühlungsausfall.
• Kommentar: Dies ist nicht richtig, kommt aber eben nur bei Ereignisabläufen mit bestimmten Kühlungsausfällen zum Tragen. Bei den HTR-spezifischen Störfällen Wassereinbruch, Lufteinbruch und bei Reaktivitätsstörfällen ist diese Eigenschaft von geringerer Bedeutung. Bei der Notwendigkeit eines schnellen Abkühlens ist die hohe Wärmekapazität eher nachteilig.
• Eigenschaft: Hohe Temperaturbeständigkeit der keramischen Brennelemente und Kernstrukturmaterialien, kein Kernschmelzen wie z. B. beim Leichtwasserreaktor möglich.
• Kommentar: Die Aussage ist richtig, geht aber am eigentlichen Problem vorbei. Es geht nicht primär um die Möglichkeit des Kernschmelzens, sondern um die Frage, ob und wie radioaktive Spaltprodukte freigesetzt werden können. Bei Temperaturen oberhalb von 1600^o C werden merkliche Anteile von Spaltprodukten aus den Brennstoffpartikeln und aus den Brennelementen freigesetzt. Bei noch höheren Temperaturen verstärkt sich dieser Effekt, und spätestens bei ca. 2500^oC kommt es zu massiven Freisetzungen in den Primärkreis. Temperaturen, bei denen gefährliche Freisetzungen stattfinden, können unfallbedingt im Kern aller größeren und großen Hochtemperaturreaktoren erreicht werden, ohne dass der Graphit seine mechanische Konsistenz verliert. Der Hinweis, Kernschmelzen sei beim HTR nicht möglich, ist also irreführend und für die Freisetzungsmechanismen nicht relevant.
• Eigenschaft: Negativer Temperaturkoeffizient der Reaktivität, d. h. Rückgang der Leistungserzeugung mit zunehmender Temperatur.
• Kommentar: Diese Eigenschaft ist nicht HTR-spezifisch, sondern auch beim Leichtwasserreaktor vorhanden; ohne diese Eigenschaft wären weder der HTR noch der Leichtwasserreaktor genehmigungsfähig. Gerade der HTR hat einen negativen Temperaturkoeffizienten der Reaktivität besonders nötig, da bei unfallbedingten Aufheizungen – anders als beim Leichtwasserreaktor – die Moderatorwirkung erhalten bleibt. Weiterhin ist festzustellen, dass der Temperaturkoeffizient mit zunehmender Temperatur immer weniger negativ wird, dass gleichzeitig die Unsicherheiten in der Kenntnis seines Verlaufes immer Größer werden und dass oberhalb von ca. 1200^oC seine Werte nicht experimentell abgesichert sind. Auch ist beim HTR besonders nachteilig, dass bei schnellem Abkühlen Reaktivitätsstörfälle möglich sind.
• Eigenschaft: Innerstes, phasenstabiles, neutronenphysikalisches neutrales Kühlmittel Helium.
• Kommentar: Richtig ist, dass das Kühlgas Verunreinigungen enthält, die zu Korrosionserscheinungen an den Brennelementen führen können; daher mußte eigens eine Gasreinigungsanlage vorgesehen werden, um u. a. diese Verunreinigungen zu vermindern. Die beiden anderen Eigenschaften des Helium (Phasenstabilität, neutronenphysikalische Neutralität) sind von geringer Relevanz. Im übrigen kommt nur Helium als Kühlmittel infrage.

Den skizzierten scheinbaren sicherheitstechnischen Vorteilen des HTR müssen selbstverständlich auch seine spezifischen Nachteile und Sicherheitsprobleme gegenübergestellt werden. Einige der genannten, angeblich positiven Eigenschaften beruhen auf der Wahl von Graphit als Moderator und Strukturmaterial. Die Eigenschaften von Graphit sind aber auch verantwortlich für HTR-typische und HTR-spezifische Unfallmöglichkeiten, nämlich Graphit-Wasser-Reaktionen nach Wassereinbruchstörfällen (durch Dampferzeugerlecks) und Graphitbrände nach Lufteinbruchstörfällen. Beim zusätzlichen Ausfall der dann angeforderten Sicherheitsfunktionen (z. B. bei Wassereinbruch: Dampferzeugerabsperrung, Nachwärmeabfuhr, Reaktorschnellabschaltung) werden diese Störfälle nicht beherrscht und können zu unkontrollierten Freisetzungen mit erheblichen Schäden in der Umgebung des Reaktors führen. Unter anderem aus dem Grund, dass diese Freisetzungen zu einem früheren Zeitpunkt stattfinden als nach einem reinen Kernaufheizstörfall, ist davon auszugehen, dass Wassereinbruch- und Lufteinbruchstörfälle die risikodominierenden Unfallabläufe beim HTR einleiten.

Neben diesen Unfalltypen tragen noch die sogenannten Reaktivitätsstörfälle, d. h. Störfälle, die durch Fehlfunktionen der Steuer- und Abschaltstabsysteme ausgelöst werden, erheblich zum Unfallrisiko von Hochtemperaturreaktoren bei.

Es darf als sicher gelten, dass die HTR-Lobby auf die Störfalluntersuchungen im Rahmen des Genehmigungsverfahrens zum THTR-300 und auf die HTR-Sicherheitsanalysen der KFA (Kernforschungsanlage) Jülich verweisen wird, um ihre Behauptung zu untermauern, die genannten Störfälle würden beherrscht bzw. selbst im Falle des Versagens weiterer Sicherheitssysteme nicht zu relevanten Schäden in der Umgebung der Anlage führen. Dazu ist festzustellen, dass die bisher vorgelegten Untersuchungen zum Unfallrisiko von Hochtemperaturreaktoren vorläufig, unvollständig, größtenteils nicht abgesichert und wissenschaftlich nicht konsensfähig sind. Bevor ein Konsens überhaupt denkbar wäre bzw. ein Dissens überhaupt eingrenzbar wäre, stehen wesentliche Elemente und Voraussetzungen eines wissenschaftlich-technischen Diskussionsprozesses noch aus, z. B. die kritische und unabhängige Überprüfung, die Nachvollziehbarkeit und die Zugänglichkeit der Quellen.

Im übrigen ist es befremdend, dass Risikountersuchungen bisher nur zu HTR-Konzepten durchgeführt wurden, die entweder nie verwirklicht werden (HTR-1160) oder bisher nur auf dem Papier existieren (HTR-500, Modul), dass aber zu der einzigen in der Bundesrepublik existierenden großtechnischen HTR-Anlage, dem THTR-300, außer einer oberflächlichen Kurzstudie keine Risikountersuchung vorliegt.

Sicherheitstechnisch nachteilige Merkmale des THTR-300

Eine sicherheitstechnische Bewertung des THTR-300 anhand seiner Auslegungsmerkmale und Konstruktionsprinzipien fördert – unabhängig von negativen Überraschungen bei der Inbetriebnahme – bereits eine Reihe von sicherheitstechnisch nachteiligen Merkmalen zutage. Eine unfassende Bewertung der sicherheitstechnischen Auslegung des THTR-300 soll an dieser Stelle nicht vorgenommen werden. Es sollen hier lediglich beispielhaft drei Konstruktionsmerkmale angesprochen werden, die nicht nur aus einer kritischen Position heraus bedenklich erscheinen, sondern sogar auch mit dem kerntechnischen Regelwerk und mit der sogenannten Sicherheitsphilosophie in der Kerntechnik kollidieren. Auch unter Berücksichtigung der Unterschiede zwischen Leichtwasserreaktoren (auf die das kerntechnische Regelwerk hauptsächlich abgestellt ist) und dem THTR-300 wird die Verletzung fundamentaler Grundsätze der Reaktortechnik beim THTR-300 anhand der folgenden Beispiele offenkundig.

Beispiel 1:

Die beiden Abschaltsysteme sind nicht ausreichend unabhängig, nicht diversitär und erfüllen nicht bei allen Betriebszuständen und Störfällen die an sie zu stellenden Anforderungen. Damit erfüllen die Abschaltsysteme – entgegen der Auffassung der Reaktorsicherheitskommission nicht die BMI-Sicherheitskriterien für Kernkraftwerke (Kriterium 5.3.). Es gibt bereits seit längerem Abschaltkonzepte, die dem des THTR-300 hinsichtlich Diversität, Abschaltbilanzen und Zuverlässigkeit eindeutig und weit überlegen sind und die dazu auch noch technisch machbar sind.

Beispiel 2:

Der THTR-300 verfügt nicht über ein unabhängiges Notkühlsystem, wie es beim Leichtwasserreaktor vorgeschrieben und verwirklicht ist. Die Nachwärmeabfuhr erfolgt mithilfe der betrieblichen Gebläse und der Dampferzeuger. Für den propagierten Nachfolgereaktor HTR-500 ist übrigens die Ausstattung mit zwei unabhängigen Einheiten zur Nachwärmeabfuhr vorgesehen.

Beispiel 3:

Der THTR-300 besitzt kein Containment wie der Leichtwasserreaktor, welches aus einem gasdichten Sicherheitsbehälter und einer Betonhülle besteht. Der THTR-300 ist lediglich mit einem (nicht dichten) sogenannten Reaktorschutzgebäude ausgerüstet (Industriehallenkonzept)

Bisher zutage getretene Konstruktionsmängel

Neben den Sicherheitsdefiziten, die in der Auslegung des THTR-300 begründet sind, sind in der bisherigen Inbetriebnahmephase eine Reihe von Konstruktionsmängeln und Konstruktionsfehlern zutage getreten, die teilweise für Störfälle und zusätzliche Sicherheitsprobleme verantwortlich sind.

Beispiel 1:

Der Kugelhaufen ist stärker verdichtet als in den Vorausberechnungen angenommen. Dies hat eine Reihe von Konsequenzen:

• Beim Einfahren der Kernstäbe in den Kugelhaufen zum Zwecke der Langzeitabschaltung wirken erhöhte Kräfte, die an der Grenze der Auslegung liegen, auf die Stäbe.
• Die ohnehin ungünstig zu bewertende Zuverlässigkeit des Kernstabsystems verschlechtert sich noch weiter, wie z. B. das Ereignis vom 23. 11. 1985 zeigte (siehe Kapitel 4).
• Es ergibt sich die Notwendigkeit des Auflockerns des Kugelhaufens durch Umwälzen, was jedoch auch keine Abhilfe schafft, da durch Stabeinfahren der Kugelhaufen immer wieder verdichtet wird.
• Die Kugelbruchrate ist weitaus höher als vorausberechnet. Während noch in der "Atomwirtschaft" (atw) vom Dezember 1982 in einem Artikel von Mitarbeitern der Hochtemperatur-Reaktorbau GmbH davon die Rede ist, "dass in zwei Betriebsjahren im Mittel nur ein Brennelement von den Kernstäben zerdrückt wird", werden vom Kraftwerksdirektor Glahe bereits jetzt 800 zerdrückte Kugeln zugegeben. Anderen Informationen zufolge sind bereits so viele Kugeln zu Bruch gegangen, dass bereits einer der beiden zur Aufnahme des Kugelbruches vorgesehenen Behälter voll ist; beide Behälter zusammen sind für die Aufnahme des während der gesamten Lebensdauer der Anlage anfallenden Kugelbruchs ausgelegt. (Der "Westfälische Anzeiger vom 19. 5. 1987 meldete: "Knapp anderthalb Jahre nach Aufnahme des Probebetriebes mussten 8.000 (!) der tennisballgroßen Brennelemente ausgesondert werden ..."; Horst Blume).
• Der unerwartet hohe Anfall an radioaktiv kontaminiertem Graphit- und Brennstoffstaub sowie metallischem Abrieb war für den Störfall am 4. 5. 1986 ursächlich verantwortlich. Darüber hinaus entstehen Probleme durch Kontamination und durch Staubanfall an zahlreichen Stellen der Anlage. Unter anderem erhöhen sich die Wahrscheinlichkeiten für ein Versagen von Armaturen und anderen Einrichtungen. 

Beispiel 2:

Oberhalb einer bestimmten Leistung ist das Umwälzen des Kugelhaufens nicht mehr möglich, da wegen zu hoher Strömungskräfte des Kühlgasstromes auf den "Vereinzelnder" am Kugelabzugsrohr keine Kugeln mehr abgezogen werden können. Dies hat Betriebseinschränkungen zur Konsequenz.

Beispiel 3:

Fehldimensionierungen der Isolierung im Dampferzeugerringraum sowie unzureichende Auslegung der Lüftungsanlagen können dazu führen, dass bei bestimmten Leistungen und bei bestimmten Außentemperaturen in Teilen der Anlage überhöhte Temperaturen auftreten.

Beispiel 4:

Durch fehlerhafte Führung der Primärkühlgasströme ist wegen des Vorliegens eines sogenannten Bypass der Kühlungsdurchsatz durch den Kern geringer als geplant. Dadurch ist ein Erreichen der Volllast nicht möglich, was der Betreiber allerdings vermutlich durch zusätzliche Manipulationen im Reaktorkern zu umgehen versuchen wird.

Beispiel 5:

Das sogenannte Reaktorschutzgebäude ist nicht dicht, so dass der zur Verringerung möglicher radioaktiver Freisetzungen aus der Reaktorhalle in die Umgebung vorgesehene Unterdruck nicht überall aufgebaut werden kann. Durch provisorische Abdichtmaßnahmen versucht man, dieses Fehlers Herr zu werden.

Neben diesen Konstruktionsfehlern und –mängeln gibt es eine Anzahl weiterer Mängel, die angeblich teilweise oder gar vollständig beseitigt sein sollen, z. B. ein Leck im Linerkühlsystem und Fehler in der Beschickungsanlage. Ob diese und andere Fehler wirklich endgültig und vollständig behoben sind, lässt sich zur Zeit nicht beurteilen.

Störfälle im THTR-300

Sicherlich sind Störfälle letztlich immer unvorhergesehene und unerwartete Ereignisse, wenn man sie als Einzelereignisse bewertet. Dennoch muss man rückwirkend bei der Bewertung der bis jetzt vorliegenden Störfall-Liste des THTR-300 feststellen, dass eine Reihe von Störfällen bzw. Störfalltypen auf Konstruktionsmängel zurückzuführen sind und beinahe zwangsläufig eintraten. Im einzelnen umfasst die Störfall-Liste folgende Ereignisse:

23.11.1985:

Sieben der zweiundvierzig Kernstäbe des Langzeitabschaltsystems konnten nicht planmäßig in die volle Tiefe des Kugelhaufens eingefahren werden. Erst die Benutzung des betrieblichen Kurzhubantriebes führte zum vollen Einfahren. Die eigentliche Ursache dieses teilweisen Versagens des Kernstabsystems liegt in den erhöhten Stabkräften infolge des verdichteten Kugelhaufens. Informationspolitik und Erklärungsversuche des Betreibers erwiesen sich als unglaubwürdig. (Beispielsweise muss selbstverständlich das Einfahren der Kernstäbe auch ohne Einspeisen von Ammoniak als "Schmiermittel" gewährleistet sein, da die Ammoniakeinspeisung laut Genehmigung kein Sicherheitssystem ist.)

04.05.1986:

Ursächlich zurückzuführen ist dieser Störfall mit erhöhter radioaktiver Freisetzung auf den erhöhten Anfall von Graphit- und Brennstoffstaub und Abrieb. Nachdem ein niederdruckseitiges Ventil der Pufferzone der Beschickungsanlage wegen Verschmutzung durch Staub nicht schloss und dieser Fehler auch mit (nichtradioaktivem) Spülgas nicht behoben werden konnte, öffnete der Operateur das primärseitige Ventil zum Zwecke des Durchspülens. Dabei wurde eine erhebliche Menge radioaktiv kontaminiertes Primärkühlgas mit Staub über den Druckentlastungskanal direkt und ungefiltert über den Kamin in die Umgebung abgegeben. Neben den radiologischen Gesichtspunkten ist an diesem Vorfall besonders bedenklich, dass der Operateur eine offensichtliche Fehlhandlung beging und dass es konstruktions- und auslegungsbedingt (wegen fehlender Verriegelungen) überhaupt möglich ist, dass durch eine einzige Fehlhandlung eine direkte Freisetzung von Primärkühlgas ausgelöst werden kann, die sich im übrigen bei einem zusätzlichen Fehler (z. B. durch einen weiteren Bedienungsfehler oder durch Versagen der Schließfunktion des primärseitigen Ventils) zu einem fast vollständigen Kühlmittelverlust in die Umgebung hätte ausweiten können.

Neben diesen beiden genauer beschriebenen und in der Öffentlichkeit bekannt gewordenen gab es eine Vielzahl weiterer sicherheitsrelevanter Ereignisse:

• Fehler in der Notstromversorgung
• Störungen in der Messtechnik und in den Regeleinrichtungen
• Bereits 11 mal wurde die Notkühlprozedur NK 45 ausgelöst; damit wäre das Kontingent an 45 solcher Notkühlabfahrprozeduren für die gesamte Lebensdauer der Anlage bereits zu einem Viertel ausgeschöpft. 

Bewertung

Die THTR-300-spezifischen nachteiligen Sicherheitseigenschaften, die besonderen Auslegungsmerkmale, die bisher bekannt gewordenen Konstruktionsmängel und die bisherigen Ergebnisse der Inbetriebnahmephase lassen es dringend geboten erscheinen, den THTR-300 nicht wieder anzufahren. Andernfalls sind weitere negative Überraschungen, Schwierigkeiten und Störfälle vorprogrammiert. Aus sicherheitstechnischer Sicht (aber auch aufgrund wirtschaftlicher Überlegungen) wird der Betreiber aufgefordert, den gefährlichen Großversuch mit dem THTR-300 abzubrechen. Bereits heute lässt sich die Schlussfolgerung ziehen, dass die Technologie des Kugelhaufenreaktors gescheitert ist.

(Freisetzung von atomarer Strahlung seit Anfang der 1940er Jahre: siehe INES - Die internationale Bewertungsskala und die Liste der weltweiten Atom-Störfälle)

- Die Karte der nuklearen Welt -

Vom Uranabbau und der Verarbeitung, über die Atomforschung, den Bau und Betrieb von Atomanlagen inklusive der Störfälle in Atomkraftwerken, bis hin zum Umgang mit Uranmunition, Kernwaffen und Atommüll.
- Weltweit, beinahe, alles auf einen Blick mit Google Maps -

zurück zu den

Studien zum THTR

***

***

Seitenanfang

***