Zwischenbericht der Schweizer Kernkraftwerke zum Schutzkonzept gegen Flugzeugangriff

Am 11. September 2001 wurden erstmals in der Geschichte Verkehrsflugzeuge als Waffe zur Zerstörung von zivilen Bauobjekten und Menschenleben eingesetzt. Die Schweizer Kernkraftwerke und die Hauptabteilung für die Sicherheit der Kernanlagen (HSK) nahmen den Terroranschlag zum Anlass, das Schutzkonzept der Werke gegen ein derartiges Bedrohungsszenario mit detaillierten Studien zu überprüfen.
Das besondere Gefahrenpotenzial der KKW sind die radioaktiven Stoffe, die bei der Urankernspaltung entstehen. Eine Zerstörung der baulichen Sicherheitsbarrieren um den Reaktor sowie der Reaktorkühlsysteme könnte zur Überhitzung der Brennstäbe und schliesslich zur Freisetzung von Radioaktivität mit schwerwiegenden Folgen für Mensch und Umwelt führen. Das Schutzziel ist, eine solche Freisetzung zu verhindern.
Für die Kernkraftwerke stellte sich somit die Frage, inwieweit die vorhandenen Sicherheitsmassnahmen die Einhaltung des Schutzziels auch im Falle eines Terroranschlags mit einem Verkehrsflugzeug gewährleisten können. Ihre Untersuchungen stützen sich auf experimentelle Daten, die zur Bewertung der Folgen eines Flugzeugabsturzes vorliegen, und auf Modellrechnungen. Mit einem Zwischenbericht ziehen sie nun erstmals Bilanz.
Die HSK nahm an ihrer Medienkonferenz vom 22. April 2002 Stellung zum Zwischenbericht: Die Werke hätten gute Arbeit geleistet. Erstens verfüge man jetzt über Daten, Modelle und Analysemethoden, die dem Stand der Technik entsprechen, und zweitens zeigten die ersten Abklärungen, dass die Kernkraftwerke über einen hohen Schutzgrad gegen einen Flugzeugabsturz verfügen. Ihre Widerstandsfähigkeit sei grösser als bisher angenommen. Die Arbeit der Schweiz sei Mitte April bei der OECD vorgestellt worden und gelte im internationalen Vergleich als weit fortgeschritten.
Die vorläufigen Ergebnisse des Zwischenberichts sind im Folgenden kurz zusammengefasst. Mit der Veröffentlichung des Schlussberichts ist gegen Ende des Jahres zu rechnen.

Auslegungsmerkmale der Schweizer Kernkraftwerke
Die Auslegung der Werke gegen den Absturz von Militär- und Zivilflugzeugen bildet eine wichtige Grundlage für die Beurteilung des Schutzkonzepts gegen einen Terrorangriff mit Verkehrsflugzeugen. Merkmale dieser Auslegung sind:

• Mehrfach vorhandene Sicherheitssysteme - fällt eines aus, tritt das nächste in Aktion.
• Die räumliche Trennung dieser Sicherheitssysteme - ein aufprallendes Flugzeug kann nicht alle gleichzeitig ausschalten.
• Die Reaktorgebäude der Kernkraftwerke Gösgen und Leibstadt verfügen über bauliche Schutzmassnahmen gegen einen Flugzeugabsturz. Die Reaktorgebäude von Beznau und Mühleberg sind entsprechend dem heute noch verbreiteten Stand der Technik nicht speziell für ein solches Ereignis ausgelegt, weisen aber verstärkte Hüllen auf.
• Speziell baulich geschützte Notstandssysteme zur Nachwärmeabfuhr aus dem Reaktor bei extremen äusseren Einwirkungen ein-schliesslich Flugzeugabsturz auf das KKWGelände. Derartige Systeme sind nur in den schweizerischen und deutschen Kernkraftwerken vorhanden. Auslöser für deren Erstellung war der Absturz einer Coronado bei Würenlingen im Jahr 1970 bzw. eine Absturzserie von Militärjets in Deutschland.
• Eine Notfallorganisation, deren Einsatzbereitschaft und Koordination mit staatlichen Stellen regelmässig beübt wird.

Flugzeugangriff versus Flugzeugabsturz
Bei ihrer Untersuchung legten die Werke besonderes Augenmerk auf die Unterschiede zwischen Absturz und gezieltem Angriff mit einem gesteuerten Flugzeug. In Zusammenarbeit mit erfahrenen Piloten und mit einer Simulatorübung bei der Swissair fand man heraus, dass die Reaktorgebäude nicht punktgenau getroffen werden können und bei einem Angriff nur bestimmte Kombinationen von Aufprallwinkel und Aufprallgeschwindigkeit technisch möglich sind. Es konnte abgeleitet werden, dass die auf das Gebäude wirkenden Lasten eher niedriger sind als diejenigen, die für einen zufälligen Absturz unterstellt worden waren.

Untersuchte Wirkungen auf das Reaktorgebäude
Um die Auswirkungen eines Flugzeugangriffs auf das Reaktorgebäude zu beurteilen, wurden folgende Phänomene mittels Modellrechnungen analysiert:

• Penetration von Triebwerken - den durchschlagskräftigsten Teilen eines Flugzeugs - oder von Trümmern
• Lokales Gebäudeversagen beim Aufprall des Flugzeugs
• Standsicherheit des Gebäudes beim Aufprall eines Grossflugzeugs
• Erdbebenartige Erschütterungen als Folge des Aufschlags
• Konsequenzen eines Kerosinbrandes

Die Auswirkungen hängen von den Charakteristiken des Verkehrsflugzeugs ab. So führt der Aufprall eines kleineren Flugzeugs wie des A320 bei gleicher Geschwindigkeit wegen des geringeren Rumpfquerschnitts zu einer höheren Last pro Fläche am Aufschlagort, ein grösseres Flugzeug wie die B747 trägt hingegen mehr Kerosin für den Folgebrand und kann stärkere Erschütterungen verursachen. Die B777 verfügt schliesslich über die schwersten Triebwerke, was für die Beurteilung der Gebäude-Penetration massgebend ist. Deshalb wurden für die Untersuchung Flugzeuge und Triebwerke in Kategorien eingeteilt, aus denen man repräsentative Typen für die Szenarienrechnungen auswählte.

Erste Untersuchungsresultate

Penetration von Triebwerken oder Trümmern:

Für die Planung der neueren Schweizer KKW im Zusammenhang mit Flugzeugabsturz wurden die Auslegungsverfahren für kerntechnische Bauwerke der 70er-Jahre verwendet. Eine Beurteilung dieser Verfahren mit moderneren Methoden, die sich teilweise auf Versuche im Massstab 1:1 abstützen, zeigte, dass die früheren Verfahren sehr konservativ waren - abgeleitet aus dem Bunkerbau und aus Beschussversuchen. Als Ergebnis der jetzt durchgeführten Analysen wurde festgestellt, dass die Schutzwandstärke eines Bauwerks, die benötigt wird, um das Durchschlagen eines Triebwerks zu verhindern, gemäss den heutigen Auslegungsverfahren nur etwa halb so gross sein muss wie gemäss den Verfahren der 70er-Jahre. Dabei wurde die in vielen Fällen zusätzlich vorhandene Armierung noch nicht berücksichtigt.
In Zahlen ausgedrückt: Mit einer Schutzwandstärke von 0,6 m wird ein eindringendes Triebwerk oder Trümmerteil bereits so stark abgebremst, dass seine Austrittsgeschwindigkeit auf der Innenseite der Wand zu gering ist, um nennenswerte Schäden auszulösen. Die Schutzwandstärken der Reaktorgebäude der Schweizer Kernkraftwerke liegen teilweise deutlich über diesem Wert: Leibstadt 1, 2 m, Gösgen 1,2-1,6 m, Beznau ca. 0,9 m und Mühleberg ca. 0,6 m.

Lokales Gebäudeversagen beim Aufprall des Flugzeugs:
Neben der geschossartigen Wirkung von Triebwerksteilen war auch die Frage abzuklären, ob die Aufprallwucht des Verkehrsflugzeugs selbst zum lokalen Versagen des Reaktorgebäudes führt. Die Tragfähigkeit der Reaktorgebäude der Schweizer Kernkraftwerke wurde anhand von Modellrechnungen mit den repräsentativen Flugzeugtypen und fünf verschiedenen Aufprallgeschwindigkeiten bewertet. Dabei wurde auch untersucht, welchen Einfluss es hat, wenn das Flugzeug nicht genau senkrecht zur Gebäudeoberfläche auftrifft: Die Stosskraft wird dann deutlich reduziert, und es besteht eine grosse Wahrscheinlichkeit für ein Abgleiten des Flugzeugs von der Gebäudeoberfläche.
Aus den ersten Ergebnissen lässt sich schliessen, dass ein lokales Versagen der Reaktorgebäude von Gösgen und Leibstadt beim Aufschlag des ganzen Flugzeugs ausgeschlossen werden kann. Für Beznau und Mühleberg sind zur Zeit noch detailliertere Modellrechnungen im Gange. Da ein grösseres Flugzeug beim Aufprall sehr stark abgebremst wird, bevor der maximale Wert der Stosskraft erreicht wird, ist jedoch selbst im Falle eines lokalen Gebäudeversagens kaum mit dem Eindringen grösserer Flugzeugteile in das Gebäudeinnere zu rechnen.

Standsicherheit des Gebäudes beim Aufprall eines Grossflugzeugs:
Die Masse der Reaktorgebäude (60'000- 150'000t) ist erheblich grösser als beispielsweise die Masse einer voll beladenen B747 (400t). Die Rechnung bestätigte, dass beim Aufprall eines Grossflugzeugs keine Gefahr für die Standsicherheit des Reaktorgebäudes besteht.

Erdbebenartige Erschütterungen als Folge des Aufschlags:
Grundsätzlich sind Reaktorgebäude und die mechanischen Komponenten wegen der Vorgaben der Erdbebensicherheit dafür ausgelegt, Erschütterungen bzw. erzwungene Schwingungen zu verkraften. Beim Aufprall eines Grossflugzeugs auf ein Gebäude können Schwingungen sowohl mit niedrigerer als auch mit höherer Frequenz als bei einem Erdbeben auftreten - lastbestimmend sind dabei diejenigen mit hoher Frequenz. Versuche in Deutschland hatten gezeigt, dass diese die Integrität mechanischer Komponenten nicht gefährden.
Mit einer Modellrechnung konnte bestätigt werden, dass selbst Erschütterungen, die beim Aufprall einer B747 mit hoher Geschwindigkeit entstehen, keine Gefahr für die Anlagensicherheit bedeuten.

Konsequenzen eines Kerosinbrandes:
Wie der Angriff auf das World Trade Center zeigte, kann es beim Aufprall eines Verkehrsflugzeugs auf ein Gebäude zur Zerstörung der Flügeltanks mit sofortiger Zündung kommen. Die tragende Struktur des WTC aus Stahl erwies sich als empfindlich gegen die Hitze des Kerosinbrandes und versagte schliesslich.
Die Bauweise der Schweizer Kernkraftwerke unterscheidet sich fundamental von derjenigen des WTC: Sie verfügen über eine massive Gebäudehülle und Betonstruktur. Es ist sehr unwahrscheinlich, dass bei einem Flugzeugaufprall Kerosin in das Innere des Gebäudes gelangen kann. Das früher unterstellte Eindringen des Rumpftanks - er ist im Übrigen bei den meisten Flügen leer - kann infolge der oben beschriebenen starken Abbremsung des Flugzeugs beim Aufschlag ausgeschlossen werden.
Bei Tanks, die weiter vom Aufprallort entfernt sind, muss unterstellt werden, dass sie teilweise intakt bleiben bzw. sich das Kerosin nicht sofort beim Aufschlag entzündet und verbrennt. Der aus den lecken Tanks freigesetzte Treibstoff kann sich ausbreiten und zu einem Folgebrand ausserhalb des Gebäudes führen. Dieser unterscheidet sich von früher im Zusammenhang mit Militärflugzeugen untersuchten Szenarien insofern, als die Menge des brennenden Kerosins grösser ist. Die äussere Betonschale von kerntechnischen Anlagen kann jedoch einem Kerosinbrand über mehrere Stunden ohne nennenswerten Verlust der Tragfähigkeit standhalten. Da innerhalb von weniger als einer Stunde die Notfallorganisation einsatzbereit ist, können die Folgen des Brandes bekämpft werden. Die in allen Schweizer KKW vorhandenen Notstandssysteme oder andere bestehende räumlich voneinander getrennte Sicherheitssysteme stellen über diesen Zeitraum die Nachwärmeabfuhr aus dem Reaktor sicher und verhindern so eine Überhitzung der Brennstäbe, die zur Freisetzung von Radioaktivität führen könnte.

Zusammenfassung
Die Schweizer Kernkraftwerke gehören zu den am besten geschützten Industrieobjekten weltweit. Die Wahrscheinlichkeit, dass ein terroristischer Flugzeugangriff einen nuklearen Unfall auslöst, wird aufgrund der neuen Studien als gering beurteilt. Das Risiko wird mit weiteren Analysen noch genauer quantifiziert.