Zur Beherrschung von Störfällen dienen spezielle Sicherheitssysteme (Sicherheitsebene 3). Sie stellen sicher, dass der Reaktor bei Erfordernis zu jeder Zeit abgeschaltet und die nach dem Abschalten noch produzierte Nachzerfallswärme abgeführt werden kann.
Störfallszenarien, welche die Anlage beherrschen muss, werden als sogenannte Auslegungsstörfälle bezeichnet. Zu den Auslegungsstörfällen zählen beispielsweise der Bruch einer Hauptkühlmittelleitung, der Bruch einer Frischdampf- oder Speisewasserleitung oder auch der Bruch eines Dampferzeugerheizrohres. Auch Störfälle aufgrund äusserer Einwirkungen sind in der Auslegung der Anlage berücksichtigt. Das Kraftwerk ist sowohl gegen naturbedingte Einwirkungen wie Erdbeben, Sturm, Blitzschlag und Hochwasser als auch gegen zivilisatorische Einwirkungen wie Sabotage und Flugzeugabsturz geschützt. Berücksichtigt sind zudem Unfälle, die sich im Umgang mit gefährlichen Gütern, wie leicht entzündbaren und explosionsgefährlichen Stoffen, ereignen können, oder Brände in der Anlage.
Zur Beherrschung von Störfällen müssen die vier Schutzziele
- Kontrolle der Reaktivität,
- Kühlung der Brennelemente im Reaktorkern und in den Lagerbecken,
- Einschluss der radioaktiven Stoffe,
- Begrenzung der Strahlenexposition eingehalten werden.
Der Einhaltung der Schutzziele dienen sogenannte Sicherheitsfunktionen, die wiederum von den redundant und diversitär aufgebauten Sicherheitssystemen gewährleistet werden.
Im KKG werden Störfälle mit Sicherheitsfunktionen beherrscht, die aus drei- bis vierfach vorhandenen sowie teilweise auch diversitären Systemen bestehen. Gegen Störfälle wirken passive und aktive Sicherheitseinrichtungen. Erstere wirken allein durch ihr Vorhandensein wie zum Beispiel die zahlreichen Schutzbarrieren aus Beton oder Stahl, die den sicheren Einschluss der Radioaktivität und die Abschirmung der vom Reaktorkern ausgehenden Direktstrahlung gewährleisten. Zu diesen Sicherheitseinrichtungen zählen auch die Druckspeicher des Notkühlsystems, welche im Anforderungsfall nicht erst in Betrieb gesetzt zu werden brauchen.
Aktive Sicherheitseinrichtungen führen die vom Reaktorschutzsystem ausgelösten Aktionen mithilfe von Stellgliedern und Aggregaten aus. Sie benötigen ein Auslösesignal und Energiezufuhr. Zu den aktiven Sicherheitseinrichtungen gehören das Not- und Nachkühlsystem, das Notspeisesystem, das Notstromversorgungssystem und das Notstandssystem. Bei allen Störfällen gilt für Sicherheitssysteme das Einzelfehlerkriterium; danach darf der Ausfall einer Komponente, eines Teilsystems oder eines Systems die ausreichende Sicherheitsfunktion des Gesamtsystems nicht verhindern. Zur Erreichung einer technischen Grundsicherheit sind besonders wichtige Systeme oder Geräte mehrfach installiert. Dieses Redundanzprinzip ist bei allen sicherheitstechnischen Einrichtungen realisiert. Dazu zählen unter anderen das Not- und Nachkühlsystem, das nukleare Zwischenkühlsystem, das Notspeisesystem, das nukleare Nebenkühlwassersystem, das Kaltwassersystem und der Gebäudeabschluss des Sicherheitsbehälters.
Die Not- und Nachkühlsysteme bestehen beispielsweise im Wesentlichen aus drei identischen Einspeisesträngen, die mit je zwei Druckspeichern, einer Sicherheitseinspeisepumpe, einer Nachkühlpumpe, einem Nachwärmekühler und einer Borwasser-Flutbehältereinheit ausgerüstet sind. Jeder der drei Stränge erfüllt die erforderliche Sicherheitsfunktion. Darüber hinaus ist noch ein Reservestrang vorhanden, der mit den anderen drei Strängen verbunden ist. Durch diese Mehrfachanordnung ergibt sich sowohl bei Reparatur- und Unterhaltsarbeiten als auch im Falle einer Störung in einem Teilsystem eine ausreichende Verfügbarkeit des Gesamtsystems. Das KKG verfügt zudem über ein spezielles zweisträngiges Notstandssystem, welches gewährleistet, dass die Anlage auch bei extremen externen Ereignissen und selbst bei postulierten terroristischen Einwirkungen wie einem gezielten Flugzeugabsturz in einen sicheren Zustand übergeführt werden kann.
Für die Nachwärmeabfuhr ist eine zuverlässige Bespeisung der Dampferzeuger von grosser Bedeutung. Dies ist die Aufgabe des Speisewassersystems. Zusätzlich zu den drei Speisewasserpumpen verfügt dieses über zwei notstromgesicherte An- und Abfahrpumpen, die bei Ausfall aller Speisewasserpumpen automatisch gestartet werden. Das Notspeisesystem ist vom Wasser-Dampf-Kreislauf getrennt. Es hat die Aufgabe, die Abkühlung der Reaktoranlage mittels Einspeisen von Deionat in die Dampferzeuger sicherzustellen, wenn eine Einspeisung über das Speisewassersystem oder das An- und Abfahrsystem nicht mehr möglich ist. Der Einsatz des Notspeisesystems wird, abhängig vom Dampferzeugerwasserstand, durch den Reaktorschutz ausgelöst. Jedem Dampferzeuger sind eine Pumpe und ein Notspeisedeionatbecken mit einem Wasserinhalt von 210 Kubikmeter zugeordnet. Eine weitere Pumpe mit Deionatbecken kann mit jedem der drei Dampferzeuger verbunden werden. Es stehen insgesamt 840 Kubikmeter Notspeisedeionatvorrat zur Verfügung. Kann die Wärmeabfuhr über den Wasser-Dampf-Kreislauf und über das Notspeisesystem – zum Beispiel infolge extremer äusserer Einwirkungen mit Ausfall von Schaltanlagengebäude, Maschinenhaus, Hilfsanlagengebäude, Wasserfassung und Fremdeinspeisung – nicht mehr erfolgen, dann übernimmt das Notstandssystem die Abfuhr der Nachzerfallswärme. Speisewassersystem, An- und Abfahrsystem, Notspeisesystem und Notstandssystem verfügen zusammen über insgesamt elf Pumpen für die Dampferzeugerspeisung. Mit nur einer Pumpe kann die Nachwärmeabfuhr sichergestellt werden.
Das Notstandsgebäude ist in zwei voneinander getrennte Gebäudeabschnitte unterteilt. In jedem Abschnitt ist ein Notstandssystem untergebracht. Das Gebäue ist so ausgelegt, dass es die Notstandssysteme gegen äussere Einwirkungen, einschliesslich Flugzeugabsturz, Sabotage, Brand und Erdbeben, schützt. Jedes Notstandssystem besteht aus Speisesystem, Nachkühl-, Zusatzborier- und Brunnenpumpen, Notstromaggregaten, Schaltanlage, 48-Volt-Batterien, Gleichrichter, Reaktorschutzsystem sowie Deionatvorrat von 535 Kubikmeter sowie Notstandsdieselaggregat. Von jeder Notstandsspeisepumpe führt eine Notstandsspeiseleitung zu einem Dampferzeuger. Zur Abfuhr der Nachzerfallswärme wird Deionat in mindestens einen Dampferzeuger eingespeist. Das Wasser verdampft und der Dampf wird über die Frischdampf-Sicherheitsventile in die Atmosphäre abgeblasen. Die Abfuhr der Nachzerfallswärme kann über einen Zeitraum von 10 Stunden ohne Eingriff des Betriebspersonals erfolgen. Baulicher Einschluss und räumlich getrennte Anordnung redundanter Teilsysteme bewirken Schutz vor Einflüssen mit übergreifendem Charakter wie Feuer, Überflutung oder gar Flugzeugabsturz. So sind zum Beispiel Kabel und Kühlwasserleitungen räumlich getrennt verlegt oder die Stränge der Sicherheitsleittechnik im Schaltanlagengebäude in verschiedenen Gebäudeabschnitten untergebracht.
In bestimmten Fällen bietet die Anwendung des sogenannten Fail-Safe-Prinzips einen zusätzlichen Schutz. Wo möglich, sind Sicherheitssysteme so eingerichtet worden, dass Störungen oder der Ausfall der Energieversorgung eindeutig sicherheitsgerichtete Aktionen auslösen. Die Fail-Safe-Technik ist unter anderem für das Reaktorschnellabschaltsystem realisiert, das auch bei Ausfall der Stromversorgung wirksam bleibt: Die Steuerelemente werden vom Steuerstabantrieb mithilfe von Elektromagneten festgehalten. Bei Stromausfall unterbleibt die Haltefunktion der Magnete. Infolge der Schwerkraft fallen daher die Steuerelemente in den Reaktor ein und schalten diesen ab. Nach der Auswertung von Störfällen im Ausland (Three Mile Island 2 und Tschernobyl) wurden spezielle Notfallmassnahmen (Sicherheitsebene 4) eingeführt, die gewährleisten, dass selbst bei sehr seltenen Unfallabläufen (gleichzeitige Mehrfachfehler von Komponenten und Ausrüstungen) die Folgen für die Umgebung des Kernkraftwerks begrenzt bleiben. Zum Schutz des Sicherheitsbehälters bei einem sehr unwahrscheinlichen auslegungsüberschreitenden Störfall wurde 1993 ein Druckentlastungssystem (DES) eingebaut. Durch kontrollierte und gefilterte Druckentlastung verhindert das DES ein Überdruckversagen des Sicherheitsbehälters. Das DES kann durch Öffnen der Absperrarmaturen aktiviert werden. Im DES wird eine wirkungsvolle Abscheidung von Aerosolen und Jod in der Waschflüssigkeit erreicht. Die Abscheidegrade für Grob- und Feinaerosole liegen bei über 99,9 Prozent und bei elementarem Jod bei über 99,5 Prozent.