Stress ist gut für die Routine

Ein Tag im Simulatorzentrum

08:19 Uhr. Alarm im Leitstand des Kernkraftwerks Unterweser. Eigentlich sollte der Reaktor routinemäßig abgefahren werden, doch einer der 61 Steuerstäbe fährt nicht wie vorgesehen zwischen die Brennstäbe ein, da eine Greifspule fehlerhaft arbeitet. Schichtleiter Ulf Stange informiert sofort die Physiker der Bereitschaft und lässt von seinem Team die Neutronenflussdichte im Reaktorkern kontrollieren. Sein Stellvertreter Wilfried Schwarze beruhigt die Besucher: "Alles in Ordnung, schließlich ist es kein Problem, wenn ein oder mehrere Steuerstäbe ausfallen, denn es sind immer noch genügend andere da, die die Kettenreaktion stoppen."

Die Steuerstäbe in einem Kernkraftwerk haben die Aufgabe, die Kettenreaktion im Reaktorkern zu steuern oder zu beenden, indem sie die Neutronen absorbieren. Um 08:27 Uhr kann die Fehlfunktion des Stabes behoben werden. Lothar Grabbe, einer der beiden Reaktorfahrer der Schicht, stellt die Normalisierung der ungleichmäßigen Leistungsverteilung fest. Er sagt: "Das war ein klarer Fall von Fail-Safe: Auch wenn ein Problem auftaucht, sorgt das inhärente Sicherheitskonzept unseres Kernkraftwerks dafür, dass das System in die sichere Richtung arbeitet." In diesem Fall hat die Schwerkraft nachgeholfen. Nachdem die Halterung des ausgefallenen Steuer stabes wieder gelöst werden konnte, fällt der letzte Steuerstab von selbst in seine vorgesehene Position.

Ulf Stange und sein Team befinden sich gar nicht im Kernkraftwerk Unterweser, sondern im Simulatorzentrum in Essen. Das Ganze ist eine realitätsnahe Übung und dient der Schulung des Teams. Die kleine Störung, die er und sein Team durchgespielt haben, ist tatsächlich bereits in einem deutschen Kernkraftwerk aufgetreten und wurde deshalb in das Schulungs programm für alle Operateure aufgenommen, die im Simulatorzentrum
Essen zweimal im Jahr trainiert werden. Das Simulatorzentrum wird jedes Jahr von über 2.000 Kursteilnehmern aus deutschen Kernkraftwerken besucht. In über 600 Kursen lernen und üben sie an einem
der 13 Simulatoren in einer Leitwarte, die der ihres Kernkraftwerks detailgetreu entspricht. Ein aufwendiges Simulationsprogramm eines Großrechners bildet im Hintergrund das Verhalten des Reaktors nach, berechnet alle Prozesse und Veränderungen von bis zu 20.000 verschiedenen Parametern in einem Kernkraftwerk. Der Simulator vermittelt realistisch den Kernkraftwerksprozess: Er ist ein exakter Nachbau der Originalwarte  (räumliche Zusammenhänge), er verhält sich dynamisch wie die reale Anlage (Zeitverhalten), er kennt alle denkbaren Anlagenfahrsituationen und er kann diese beliebig oft nachstellen.

Die Teilnahme an Wiederholungskursen ist eine der Voraussetzungen dafür, als verantwortliches Schichtpersonal tätig sein zu dürfen. Die Operateure müssen während ihrer gesamten Berufszeit auf
der Schicht das gesamte Wissen und Können dauernd verfügbar haben, um jede erdenkliche Betriebssituation  meistern zu können. So werden am Simulator Erfahrungen gesammelt, die im normalen Arbeitsalltag nicht gemacht werden können. Der gestörte Betrieb oder gar Störfälle, aber auch Teile des Normalbetriebes, zum Beispiel das An- und Abfahren der Anlage, werden vom einzelnen Operateur nie, sehr selten oder nur ausschnittsweise erlebt. Am Simulator werden Hunderte von relevanten Betriebssituationen so oft geübt, dass jeder Operateur sein Wissen jederzeit abrufen kann. Wilfried Schwarze ist der Dienstälteste der Schicht und hat
vor seiner technischen Fachausbildung Philosophie studiert. Er bringt die Ziele des Simulatortrainings auf den Punkt: "Es geht darum, dass wir hier den nötigen Weitblick erlernen. Damit wir in jeder Situation die Folgen unseres Handelns absehen und abwägen können."

Dr. Eberhard Hoffmann, Geschäftsführer der Kraftwerks-Simulator-Gesellschaft (KSG), erläutert: "Theoretische
Schulung allein reicht nicht aus. Der Mensch lernt und denkt anders: Er speichert komplette Szenarien, er prägt sich räumliche Zusammenhänge und zeitliche Abläufe von Prozessen ein. Regelmäßiges Erleben führt eben zu Erfahrung. Häufiges Lösen auch neuer Problemfälle gibt Sicherheit."

Deshalb müssen nicht nur die Technik und das Erscheinungsbild von Simulator und Kraftwerk übereinstimmen, sondern in ganz besonderem Maße die psychologische Situation ( Verantwortung, Stress, Überraschung etc.) und das situative Umfeld (z. B. Ablenkung, Zeitdruck) den potenziellen Anforderungen im
Kraftwerk entsprechen. Es ist ein wichtiges Übungsziel, dass die Kursteilnehmer in solchen Situationen völlig eigenständig und eigenverantwortlich agieren und aus den Rückmeldungen der Anlage und anhand der Angaben in den zu verwendenden Betriebsunterlagen die richtigen Schlüsse ziehen.

Für die nötige Abwechslung und für richtigen Stress am Simulator Unterweser sorgt heute Ausbildungsleiter Christian Groenitz, der sich für die nächste Übung ein kleines Ablenkungs manöver ausgedacht hat, das den eigentlichen Störfall zunächst überlagern wird. Doch der inszenierte Ausfall eines Messgerätes irritiert die Mannschaft kaum. Hochkonzentriert verfolgen Anlagen fahrer Lothar Grabbe und sein Kollege Rainer Dierkes
an einem der Monitore einen ungewöhnlichen Druckanstieg im Containment. Um 08:51 Uhr löst der automatische Reaktorschutz Alarm und eine Schnellabschaltung des Reaktors aus. Jetzt kommt doch etwas Anspannung in der Leitwarte auf. Eine Warnhupe ertönt laut, überall blinken jetzt Warnleuchten und zucken die Schreiber der Messgeräte über das Diagrammpapier.

Vor allem Druck und Temperatur verändern sich offenbar im Reaktorkern. Die Automatik des Reaktorschutzsystems sorgt dafür, dass bei Über- oder Unterschreiten bestimmter Messwerte automatisch in Sekunden der Reaktor abgeschaltet wird. Offenbar ist eine Leitung im Primärkreislauf des Kühlsystems geplatzt. Ein mittleres Leck, ein Störfall, der in einem deutschen Kernkraftwerk noch nie vorgefallen ist.

Wilfried Schwarze schreitet die Anzeigetafel des Reaktorschutzes ab und überprüft gewissenhaft, ob die Schnellabschaltung und die ausgelöste Notkühlung alle vorgesehenen Maßnahmen ordnungsgemäß durchführen. Er sagt: "Der automatische Gebäudeabschluss hat entsprechende Verbindungen in das und aus dem Reaktorgebäude wie vorgesehen hermetisch verschlossen. Für Hektik besteht aber für uns kein Anlass.

Die nächsten 30 Minuten wird die Anlage automatisch runtergefahren. Der Mensch kann und soll hier gar nicht eingreifen." Mittlerweile hat Schichtleiter Ulf Stange das Betriebshandbuch aus dem Regal geholt und die Verfahrensregeln und Entscheidungsabläufe für diesen Störfall aufgeschlagen. Er ruft seine Mannschaft zusammen: "Jetzt müssen wir die Zeit nutzen, um den Störfall eindeutig zu identifizieren und abhängig davon
das weitere Vorgehen festzulegen. Im Vordergrund steht der Abtransport der Nachzer fallswärme." Obwohl der Reaktor automatisch abgeschaltet wurde, bleibt trotz des vollständigen Endes der Kettenreaktion eine "Restwärme" im Reaktor, die die Brennstäbe und den Druckbehälter gefährden könnte. Sie kommt dadurch
zustande, dass die frischen Spaltprodukte der zuletzt noch gespaltenen Atomkerne jetzt radioaktiv zerfallen und weiter Wärme erzeugen. Da keine neuen Spaltungsreaktionen mehr stattfinden, kann die Nachzerfallswärme nicht durch die Steuerstäbe beeinflusst werden, sondern muss jetzt durch Not- und Nachkühlsysteme
abgeführt werden.

Ulf Stange: "Der Reaktor fährt jetzt, wie im Betriebshandbuch vorgeschrieben, mit 120 Kelvin pro Stunde ab. Die Sicherheitseinspeisung über die Hochdruck-Einspeisepumpen läuft einwandfrei. Jetzt müssen wir sehen, ob das Kühlwasser das Leck überspeist oder nicht. Wenn nicht, dann handelt es sich um ein großes Leck im Primärkreis." Mit Hilfe von vier unabhängigen, parallel angeordneten Pumpen ist die Notkühlung zu 4 x 50 Prozent gewährleistet. Zwei Leitungsstränge reichen bereits aus, für die sichere Abfuhr der Nachzerfallswärme.

Um 09:22 Uhr atmen die Männer auf. Das Abfahren des Reaktors ist abgeschlossen. "Jetzt kommen wir in eine Phase, die viel Geschick und Training erfordert", flüstert Ausbildungsleiter Groenitz. Bislang ist er mit der Leistung des Teams sehr zufrieden. Ulf Stange macht die nächste Ansage: "Warten bis Anlagenzustand unter 160 °C und Kühlmitteldruck im Reaktorkühlkreislauf größer 9 bar. Der Wasserstand im Druckhalter ist auf sechs bis acht Meter anzuheben." Die Sicherheits einspeisepumpen müssen so lange zusätzliches  Kühlwasser in den Reaktordruckbehälter einspeisen, bis der Druck unter 9 bar gebracht wird, damit die Niederdrucknachkühlpumpen das Wasser, das sich mittlerweile am Boden des Sicherheitsbehälters im so genannten Sumpf angesammelt hat, wieder in den Kühlkreislauf zurückpumpen können, um im Bedarfsfall auch eine lang fristige Kühlung zu gewährleisten.

Doch zunächst geht es darum, den Wasserfüllstand im Reaktordruckbehälter über den Brennelementen zu halten. Hier gibt es drei verschiedene Mindestfüllstände, die eingehalten werden müssen. Dazu benötigen die Reaktorfahrer viel Aufmerksamkeit. Jetzt kommt es darauf an, die vier Sicherheitseinspeise pumpen nach und nach abzuschalten, ohne dass der Füllstand unter die festgelegten Markierungen fällt.

Um 09:36 Uhr wird die erste Pumpe TH45D001 ausgeschaltet. Um 09:44 Uhr auch TH35D001. Um 09:46 Uhr folgt TH25D001. 09:55 Uhr, Lothar Grabbe: "Der Füllstand im Druckhalter sinkt zu schnell!" Ulf Stange: "TH25D001 wieder einschalten!" Fünf Minuten später geht TH15D001 außer Betrieb. Mittlerweile
laufen alle Niederdrucknachkühl pumpen, da der Druck im Reaktorbehälter tief genug gesunken ist. Um 10:04 Uhr kann auch TH25D001 wieder ausgeschaltet werden. "Alle vier Sicherheitseinspeisepumpen
außer Betrieb!", ruft Wilfried Schwarze.

10:06 Uhr: Der Druck hat sich bei 9,8 bar eingependelt. Die Anlage ist wieder im stabilen Zustand. Das Team hat die Aufgabe am Simulator hervorragend gelöst.

Christian Groenitz wird später am Nachmittag im Schulungsraum bei der Nachbesprechung das Team loben: "Die Kommunikation im Team lief hervorragend. Es wurden bei jeder Schalthandlung die Drei-Wege-Kommunikation und das Vier-Augen-Prinzip eingehalten. Jedes Teammitglied hat selbstständig mitgedacht und gehandelt und Verantwortung übernommen."

Verantwortung ist auch für Dr. Eberhard Hoffmann ein zentraler Begriff: "Wir verlangen - wie es zum Beispiel die Lufthansa von ihren Piloten und Flugbegleitern auch erwartet ? von den Mitarbeitern, dass sie präzise, zuverlässig und regelkonform arbeiten, auch wenn keiner hinguckt. Das ist eine innere Haltung. Wir nennen diese innere Haltung Sicherheitskultur." Der Tag am Simulator geht zu Ende. Morgen stehen die Bewertungen der einzelnen Mitarbeiter der Unterweser-Schicht an.

Lothar Grabbe ist nachdenklich: "Ich bin mir meiner Verantwortung bewusst. Ich bin kein ängstlicher Typ. Angst wäre auch fehl am Platze. Stattdessen muss man einfach Respekt haben vor der Anlage."