Aufsichtsbericht 2015

der Schmieröldruck vor Ort überwacht und das
Schmieröl nach jedem Betrieb des Motors analysiert.
Die abschliessende Ursachenanalyse am
ausgebauten Motor findet durch den Hersteller
statt.
Im Rahmen der systematischen Sicherheitsbewertung
wurde die temporäre Unverfügbarkeit
eines Notstanddieselgenerators vom ENSI der
Kategorie A (Abweichung) der ENSI-Sicherheitsbewertungsskala
zugeordnet, als Aspekt des
Zustands und Verhaltens der Anlage mit Bedeutung
für die Sicherheitsebene 3 und mit schutzzielübergreifender
Bedeutung.
Bei der Gängigkeitsprüfung am Ende des Revisionsstillstands
wurden am 1. Juli 2015 an einem
Steuerelement erhöhte Reibungskräfte gemessen.
Die Steuerelemente im KKG bestehen
aus 20 Steuerstäben, die an einer Halterung befestigt
sind. Ursache der erhöhten Reibung war
die nach aussen gebogene Befestigung eines
Steuerstabes, welche beim Ein- und Ausfahren
die Steuerstabführungsplatten berührte. Der
Grund für die Verbiegung dürfte eine mechanische
Wechselwirkung mit dem Zentrierbolzen
des Greifers der Lademaschine gewesen sein.
Die Untersuchungen dazu sind noch im Gang.
Das betroffene Steuerelement wurde ersetzt.
Bevor der Reaktor kritisch gefahren wurde,
wurde die Verfügbarkeit aller Steuerelemente
durch Fallzeitmessungen erfolgreich verifiziert.
Im Rahmen der systematischen Sicherheitsbewertung
wurde die Beschädigung eines Steuerelements
vom ENSI der Kategorie A (Abweichung)
der ENSI-Sicherheitsbewertungsskala
zugeordnet, als Aspekt des Zustands und Verhaltens
der Anlage mit Bedeutung für die Sicherheitsebenen
1, 2 und 3 und das Schutzziel
«Kontrolle der Reaktivität».
Am 13. Juli 2015 führte ein Fehlverhalten des
beim Revisionsstillstand 2015 neu eingebauten
Netzspannungsreglers (siehe Kap. 3.3.2 ) dazu,
dass der Generator stark untererregt betrieben
wurde. Die Handeingriffe des Betriebspersonals
führten dazu, dass sich der Erregerstrom noch
weiter verringerte. Damit bestand die Gefahr,
die Stabilitätsgrenze des Generators zu überschreiten.
Folgerichtig wurde auf Anweisung
des Schichtchefs von Hand eine Turbinenschnellabschaltung
ausgelöst. Die Anlage verhielt sich
auslegungsgemäss. Der Generator wurde vom
Netz getrennt und die Reaktorleistung reduziert.
Nach knapp zwei Stunden konnte die Anlage
bei abgeschaltetem Netzspannungsregler
wieder mit dem Netz synchronisiert werden,
was der früheren Betriebsweise entspricht.
Im Rahmen der systematischen Sicherheitsbewertung
wurde die Fehlfunktion des Netzspannungsreglers
vom ENSI der Kategorie A
(Ab weichung) der ENSI-Sicherheitsbewertungsskala
zugeordnet, als Aspekt des Zustands und
Verhaltens der Anlage mit Bedeutung für die Sicherheitsebene
1 und mit schutzzielübergreifender
Bedeutung.
Am 13. Juli 2015, bei der Wiederaufnahme
des Leistungsbetriebs nach der oben beschriebenen
Turbinenschnellabschaltung, wurde im
Kommandoraum eine Störung in einem Leittechnikschrank
angezeigt. Gleichzeitig wurden
im Kommandoraum fehlende Rückmeldungen
im Bereich der Frischdampfisolationsventile bemerkt,
ohne den Zusammenhang mit der Störung
im Leittechnikschrank zu erkennen. Stattdessen
wurde eine Störung an der Notstandsgleichstromschiene
vermutet, welche die betroffenen
Frischdampfisolationsventile versorgt. Zwei Mitarbeiter
begaben sich zwecks Überprüfung der
Spannung an der Notstandsgleichstromschiene
in das Notstandsgebäude. Eine methodisch
nicht korrekt durchgeführte Spannungsmessung
zeigte keine Spannung, obwohl die Schiene normal
versorgt war. Die falsche Annahme, die
Schiene sei spannungslos, wurde dadurch bestätigt.
Die Kontrolle der Leitungsschutzschalter ergab
keinen Befund. Anschliessend wurden die
Schütze der Ansteuerung der Frischdampfisolationsventile
kontrolliert und von einer der beteiligten
Personen irrtümlicherweise als ausgelöste
Schutzeinrichtungen (Wärmepakete) der
Notstandgleichstromschiene interpretiert. Umgehend
betätigte ein Mitarbeiter den mechanischen
Knopf eines Schützes, worauf der Schütz
anzog. In der Meinung, das Wärmepaket sei zurückgesetzt
und der Fehler gefunden, betätigte
der Mitarbeiter die weiteren fünf Schütze ebenfalls.
Die dadurch bewirkte Stellung der Vorsteuerventile
der Frischdampfisolationsventile
führte zum Schliessen zweier Frischdampfisolationsventile.
Die Anlage reagierte auslegungsgemäss
mit einer Reaktorschnellabschaltung. Alle
sicherheitstechnischen Einrichtungen funktionierten
einwandfrei. Die Frischdampfisolationsventile
sind Teil des nichtnuklearen Sekundärkreislaufs.
Sie trennen bei Leitungsbrüchen im
Frischdampfsystem und bei Heizrohrbrüchen die
einzelnen Dampferzeuger vom Rest des Frischdampfsystems.
Ursachen für die Fehlhandlun-
54 ENSI Aufsichtsbericht 2015