Sicherheitstechnisch war der Fehler primär für den Block 2 während des Leistungsbetriebs 2016/2017 von Bedeutung, wie das Eidgenössische Nuklearsicherheitsinspektorat (ENSI) am Donnerstag auf seiner Website festhält. Im Block 1 hätten sich im Reaktorkern in diesem Zeitraum keine Brennelemente befunden.

Im Rahmen des Projekts "Autanove" waren in beiden Blöcken des AKW Beznau autarke Notstromversorgungen nachgerüstet worden, die auf das Sicherheitserdbeben SSE ausgelegt sind. Bei einem solchen Erdbeben darf das Bauwerk begrenzte Schäden erleiden, aber nicht zusammenbrechen.

Notstromdiesel wäre abgeschaltet worden

Bei einer Analyse des Systemverhaltens erkannte der AKW-Betreiber den meldepflichtigen Fehler, wie es im Vorkommnisbeschrieb des ENSI heisst. Demnach hätten Signale aus Teilen der Anlage, die nicht für die Beherrschung des SSE notwendig sind, bei einem solchen Erdbeben dazu geführt, dass der dabei benötigte Notstromdiesel abgeschaltet worden wäre.

Dieser Notstromdiesel versorge die Notstromschiene, die für die Beherrschung des SSE vorgesehen sei. Damit sei eine Abweichung vom Prinzip der Autarkie vorgelegen, welches für die autonome Notstromversorgung bei einem SSE von zentraler Bedeutung sei.

"Die direkte Ursache war eine Software, die für die autarke Notstromversorgung ungeeignet ist", hält das ENSI fest. Diese Software habe für den Notstromdiesel das Prinzip "ausgeschaltet ist sicher" verwendet. Dies sei im Widerspruch zu den Anforderungen an die autarke Notstromversorgung bestanden, für die beim SSE "eingeschaltet ist sicher" gelte.

Unklarer Auftrag

Die vorgelagerte Ursache lag laut Atomaufsichtsbehörde in der Kommunikation mit dem Auftragnehmer für die Realisierung des Projekts "Autanove". Die Unabhängigkeit der Notstromversorgung sei in der Ausschreibungsspezifikation "nicht klar genug formuliert" worden.

Bei der Prüfung der Unterlagen des Auftragnehmers, die auf der Basis der Ausschreibungsspezifikation erstellt worden sei, sei die Abweichung vom Prinzip der Autarkie nicht erkannt worden.

Mit der Anpassung der Software sei der Auslegungsfehler in beiden Blöcken behoben worden. Im Block 2 erfolgte die Korrektur noch vor dem Wiederanfahren der Anlage. Der Block 1 ist seit März 2015 abgeschaltet.