Ungewissheiten bezüglich der Langzeitsicherheit von Endlagern: Qualitative und quantitative Bewertung

Ein wesentliches Ziel des Safety Case (vgl. Röhlig 2024) ist die Darlegung von Ungewissheiten sowie die Bewertung ihrer Bedeutung zum Zeitpunkt der Erstellung des Safety Case und im Kontext des dann aktuellen Schritts der Endlagerentwicklung, um so zu Empfehlungen zum weiteren Vorgehen zu gelangen. Dies gilt auch für die vorläufigen Sicherheitsuntersuchungen im Rahmen des deutschen Standortauswahlverfahrens und wird in den Paragraphen 11 (Bewertung von Ungewissheiten) und 12 (Ableitung des Erkundungs-, Forschungs- und Entwicklungsbedarfs) der einschlägigen Verordnung (EndlSiUntV 2020) entsprechend gefordert.

Rahn et al. (2024) legen die systematische Ableitung solcher Empfehlungen im Rahmen des Schweizer Standortauswahlverfahrens dar. Entsprechend spielen geowissenschaftliche Erwägungen eine besondere Rolle bei dieser Ableitung. So ist die Frage, ob geowissenschaftliche Untersuchungen im Rahmen der Standortcharakterisierung zur Verringerung von Ungewissheiten beitragen können, von zentraler Bedeutung. Dies ist auch der Tatsache geschuldet, dass sich die geplanten Sicherheitskonzepte und Endlagerauslegungen für die im Schweizer Verfahren betrachteten Standortregionen nicht grundlegend voneinander unterscheiden, auch wenn die Frage nach einer gemeinsamen Einlagerung von hochaktiven Abfällen (HAA) mit schwach- und mittelaktiven Abfällen (SAA) („Kombilager“, „co-disposal“) offen blieb (Nagra 2002, 2011, 2020).¹ Dies wird im deutschen Verfahren voraussichtlich anders sein: Aufgrund der gesetzmäßigen Orientierung auf drei unterschiedliche Wirtsgesteine („Steinsalz, Tongestein und Kristallingestein“, StandAG 2020) gilt es im Rahmen des deutschen Verfahrens, unterschiedliche Sicherheitskonzepte und Endlagerauslegungen zu erarbeiten und in der Standortauswahl zu berücksichtigen, entsprechend muss auch „Entwicklungsbedarf“ (EndlSiUntV 2020) bezüglich der Konzepte und Auslegungen ausgewiesen werden. Solche Entwicklungen erfolgen auch in der Schweiz, sind aber für die Standortauswahl selbst von geringerer Bedeutung.

Einen Anspruch auf Allgemeinheit erheben das das von Eckhardt (2020) vorgeschlagenen Vier-Felder-Schema „Sicherheitsrelevanz / Tragweite / Aussagenqualität / Behebungspotenzial“ und die daraus abgeleiteten generischen Handlungsempfehlungen. Solche Empfehlungen können zum Beispiel eine Verringerung der Ungewissheit durch Standorterkundung oder Forschung, aber auch eine Abschwächung der sicherheitsrelevanten Folgen oder ein Vermeiden der Ungewissheit zum Beispiel durch geeignete Auslegungsmaßnahmen sein (Vigfusson et al. 2007). Unter Umständen ist die Ungewissheit aber auch zu akzeptieren (Eckhardt 2020; Röhlig 2024).

Um eine Darlegung und Bewertung von Ungewissheiten in systematischer Weise zu ermöglichen, muss die jeweilige Ungewissheit zunächst charakterisiert und eingeordnet werden.

„In der Literatur findet sich häufig folgende Unterscheidung […]:

• Aleatorische Ungewissheiten sind „Zufälligkeiten“, die dem betrachteten System innewohnen. Sie lassen sich nicht reduzieren oder beheben, lassen sich aber durch statistische Gesetze beschreiben, die sich günstigenfalls durch oft wiederholte Beobachtungen (z. B. häufige Messungen) und statistische Verfahren näherungsweise ermitteln lassen.
• Epistemische Ungewissheiten beruhen auf mangelnder Kenntnis, die Ursache liegt also nicht beim betrachteten System, sondern beim Menschen. Sie können zumindest prinzipiell durch Forschung oder Standorterkundung behoben oder verringert werden.“ (Röhlig 2021; vgl. dazu z. B. auch Galson und Kursheed 2007)

Eine klare Abgrenzung beider Typen gelingt jedoch nicht immer. Im Rahmen der Bewertung der Langzeitsicherheit hat sich eine pragmatischere und enger an den Vorgehensweisen in Langzeitsicherheitsanalysen, einem zentralen Element des Safety Case zur Abschätzung und Bewertung der Sicherheit nach Endlagerverschluss (Langzeitsicherheit), orientierte Unterscheidung oft als zielführender erwiesen – Ungewissheiten können folgende Fragen betreffen:

Die gebräuchlichen, aber etwas verkürzenden Bezeichnungen für die entsprechenden Typen von Ungewissheiten folgen wichtigen Komponenten der Langzeitsicherheitsanalyse: Im Rahmen solcher Sicherheitsanalysen werden u. a. so genannte Szenarien (in der Endlagersicherheitsanforderungsverordnung EndlSiAnfV 2020: „Entwicklungen“) systematisch abgeleitet. Dies sind Beschreibungen potenzieller Entwicklungen des Endlagersystems über den Bewertungszeitraum (in Deutschland: 1 Million Jahre). Diese sollen in ihrer Gesamtheit die Entwicklung abdecken, die das System tatsächlich nehmen wird. Auf der Grundlage dieser Szenarien werden Computersimulationen (Modellrechnungen) durchgeführt (numerische Analyse), die Auskunft über das Zusammenspiel der Phänomene und Prozesse geben und mit denen auch so genannte Indikatoren berechnet werden. Indikatoren sind Größen, die Aussagen z. B. zum Zustand einzelner Barrieren (Beispiel: Durchlässigkeit eines Verschlussbauwerks) oder auch zu potenziellen Auswirkungen auf Mensch und Umwelt (Beispiel: jährliche effektive Individualdosis) erlauben. Indikatoren geben also Auskunft über vorteilhafte und ungünstige, akzeptable und inakzeptable Systemzustände. Simulationen zur Berechnung von Indikatoren benötigen quantifizierte Eingangsgrößen (Parameter).

Dieser Vorgehensweise folgend werden – in der Reihenfolge der Aufzählung oben und mit etwas vereinfachenden Bezeichnungen – Szenarien-, Modell- bzw. Parameterungewissheiten unterschieden. Rahn et al. (2024) differenzieren im Fall der Modellungewissheiten noch zwischen „Unsicherheiten bezüglich Konzeptualisierungen“ und bezüglich „Rechenmodellen“ (also numerischen Modellen bzw. Computercodes).² Die Beziehung zwischen beiden Ansätzen zur Kategorisierung von Ungewissheiten ist in Abb. 1 dargestellt.

Auf eine weitere gebräuchliche Kategorisierung von Ungewissheiten – der nach „known unknowns“ / „unknown / ignored knowns“ / „unknown unknowns“ (vgl. Eckhardt 2024) soll hier nicht näher eingegangen werden. Schwerpunkt der weiteren Darstellungen sind die sogenannten „known unknowns“, also diejenigen Ungewissheiten, derer sich die Handelnden bewusst sind und die auch bewusst im Safety Case adressiert werden. Naturgemäß werden die beiden anderen Typen im Safety Case nicht explizit behandelt – dies ist ja gerade das bestimmende Merkmal dieser Kategorien. Zum Umgang mit ihnen sei hier nur – stark verkürzend – folgendes gesagt:

Wichtigste Maßnahme zur Vermeidung des Ausblendens eigentlich bekannter Probleme (“ignored knowns“) ist die Einführung, Umsetzung und stetige Weiterentwicklung einer angemessenen Sicherheitskultur und eines Sicherheitsmanagements (Röhlig und Sträter 2022). Diese ist entsprechend zu dokumentieren, nach den Regelungen in Deutschland jedoch außerhalb des Rahmens der technisch orientierten Sicherheitsuntersuchungen bzw. –berichte (ESK 2021).

Wichtige Maßnahmen, um die Menge von „unknown unknowns“, also von Sachverhalten, von denen wir nicht wissen, dass wir sie nicht kennen, möglichst klein zu halten bzw. ihre Auswirkungen zu begrenzen, erfolgen im Rahmen der Standortauswahl und der Konzeption des Endlagers:

Die Konzeption und Umsetzung dieser wie auch aller anderen Maßnahmen zum Erreichen von Sicherheit erfolgen außerhalb der Methodik des Safety Case (vgl. Röhlig 2024), der dem Demonstrieren von Sicherheit dient. Beide Aspekte sind jedoch verbunden: Das Konzept zum Erreichen von Sicherheit (das Sicherheitskonzept gemäß § 10 der Endlagersicherheitsanforderungsverordnung EndlSiAnfV 2020 und § 6 der Endlagersicherheitsuntersuchungsverordnung EndlSiUntV 2020) ist im Rahmen von Safety Cases oder Sicherheitsuntersuchungen ebenso zu dokumentieren wie die Endlagerauslegung (§ 11 EndlSiAnfV; § 6 EndlSiUntV) und der geowissenschaftliche Wissensstand zum Standort (§ 5 EndlSiUntV).

Eine Schnittstelle der Aktivitäten zum Erreichen und zum Demonstrieren von Sicherheit ergibt sich im sogenannten Anforderungsmanagement, also in der Absicherung der materiellen Umsetzung von sicherheitsgerichteten Anforderungen. Das „Anforderungsmanagementsystem“ (VAHA von Finnisch „vaatimusten hallintajärjestelmän“) ist z. B. integraler Bestandteil des finnischen Safety Case (Posiva 2012), eine knappe Beschreibung gibt Röhlig (2021).

Weiterhin gilt es zum Demonstrieren von Sicherheit, durch eine möglichst umfassende Sicherheitsuntersuchung möglichst viele Sachverhalte zu antizipieren oder zumindest abzudecken – inklusive „unvorhersehbarer“ Sachverhalte (unknown unknowns). Hierbei geht man im Rahmen von sogenannten Stresstests unter Betrachtung von hypothetischen „what-if“-Szenarien („Entwicklungen, die selbst unter ungünstigen Annahmen nach menschlichem Ermessen auszuschließen sind“, EndlSiAnfV 2020) über das in den Grenzen der praktischen Vernunft als möglich erachtete hinaus – man verändert z. B. Parameterwerte in Modellrechnungen zum Ungünstigen über das physikalisch Mögliche hinaus oder lässt gedanklich und in den Modellierungen Barrieren weg, um so die Unempfindlichkeit des Systems gegen Unerwartetes („Robustheit“) zu zeigen. „Die Erfahrung zeigt allerdings auch, dass es schwierig ist, den Charakter solcher Szenarien zu kommunizieren – die Ergebnisse werden oft als realistische Prognosen (miss-)verstanden.“ (Röhlig 2021)

Zunächst gilt, dass im Safety Case Modell-, Szenarien- und Parameterungewissheiten zu identifizieren, sie also zu „known unknowns“ zu machen und sie dann möglichst einzugrenzen sind, Ansätze hierzu sind z. B.

Detaillierte Darstellungen hierzu bieten z. B. Hansen (2006); Galson und Morris (2009) und OECD/NEA (2012a, 2016). Über diese Darstellungen hinaus ist anzumerken, dass der Erfolg und die Effektivität der oben aufgeführten Ansätze sämtlich von menschlichen und organisatorischen Faktoren abhängen (Sträter 2020) – dies gilt ebenso für alle anderen Handlungen und Maßnahmen zum Erreichen oder Demonstrieren von Sicherheit. Diesbezügliche Ungewissheiten sind nicht Gegenstand des vorliegenden Beitrags.

Um Entscheidungen zum weiteren Vorgehen zu ermöglichen, muss im Safety Case die Sicherheitsrelevanz der „verbleibenden“ Ungewissheiten eingeschätzt werden. Hierbei bietet es sich an, sich auf sicherheitsrelevante Aussagen zu potenziellen Zuständen des Endlagersystems bzw. einzelner Teile oder Subsysteme sowie der Eintrittswahrscheinlichkeiten für diese Zustände zu stützen. Solche Aussagen können qualitativ oder quantitativ sein. Sie beruhen auf Szenarien (s. voriger Abschnitt), also Beschreibungen potenzieller Entwicklungen des Endlagersystems. Quantitative Aussagen beruhen in der Regel auf Abschätzungen bzw. Modellrechnungen (Computersimulationen) auf der Basis der jeweils betrachteten Szenarien. Ergebnisse der Modellrechnungen sind sogenannte Indikatoren, d. h. Größen, die Aussagen z. B. zum Zustand einzelner Barrieren oder auch zu potenziellen Einwirkungen auf Mensch und Umwelt erlauben (s. o.).

Beispiele für Indikatoren sind Abschätzungen für die Korrosionsgeschwindigkeit von Barrierematerialien, für den hydraulischen Widerstand bzw. die Durchlässigkeit eines Verschlussbauwerks oder auch für die zusätzliche (durch das Endlager hervorgerufene) jährliche effektive Dosis für potenziell exponierte Personen, die künftig in der Umgebung des Endlagers leben könnten. Eine ausführliche Darstellung zu verschiedenen Typen von Indikatoren und ihrer Verwendung gibt OECD/NEA (2012b).

Die mit den Indikatorwerten verbundenen Wahrscheinlichkeitsaussagen basieren auf Überlegungen zur Eintrittswahrscheinlichkeit des jeweils zugrunde gelegten Szenarios und zur Ungewissheit der bei den Rechnungen verwendeten Eingangsparameter. Solche Aussagen können qualitativ-verbal (etwa „sehr wahrscheinlich“ oder „wenig plausibel“) oder quantitativ sein.

So fordert die Endlagersicherheitsanforderungsverordnung (EndlSiAnfV 2020) die Einstufung von „Entwicklungen“ (d. h. Szenarien) als „zu erwartend“, „abweichend“ und „hypothetisch“, also eine qualitative Einschätzung. Für den Umgang mit Ungewissheiten bezüglich der verwendeten Parameterwerte werden keine detaillierten Hinweise gegeben, die Endlagersicherheitsuntersuchungsverordnung (EndlSiUntV 2020) fordert lediglich eine systematische Ausweisung und Bewertung von Ungewissheiten sowie Aussagen zu deren „Einfluss auf die Zuverlässigkeit der Sicherheits-gerichteten Aussagen“ (§ 11).

Andere Regelwerke erfordern dagegen quantitative Abschätzungen. So wird zum Beispiel in den Anforderungen der Environment Protection Agency EPA (2022) gefordert, dass die Freisetzungen von Radionukliden (berechnet als gewichtete Summe von Nuklidströmen) in die zugängliche Umwelt „aufgrund aller signifikanter Prozesse und Ereignisse, die das Endlagersystem beeinflussen könnten“³ mit einer Wahrscheinlichkeit von weniger als 1/10 einen bestimmten Grenzwert sowie mit einer Wahrscheinlichkeit von weniger als 1/1000 das Zehnfache dieses Grenzwerts nicht überschreiten dürfen. Die bedeutet letztlich, dass quantitative Angaben sowohl zur Eintrittswahrscheinlichkeiten von Szenarien als auch für die in den Modellrechnungen verwendeten Parameterkonstellationen erforderlich sind. Die deutsche Regelgebung dagegen schließt solche Aussagen und Vorgehensweisen zwar nicht aus, fordert sie jedoch auch nicht.

Die Quantifizierung von Eintrittswahrscheinlichkeiten von Szenarien gestaltet sich in vielen Fällen schwierig, nur selten gelingt eine Vorgehensweise wie z. B. beim Szenario „Behälterversagen durch Scherbelastung“ („canister failure due to shear load“) in der schwedischen Sicherheitsanalyse für ein Endlager für ausgediente Brennelemente am Standort Forsmark (SKB 2011): Im Szenario wird ein postglaziales Erdbeben unterstellt, das zu einer Bewegung des Wirtsgesteins entlang von Klüften führt. Wird nun ein Endlagerbehälter in einem Bohrloch eingelagert, das eine Kluft schneidet, so kann dieser durch die Scherbewegung beschädigt werden und es kommt zur Freisetzung von Schadstoffen (z. B. Radionukliden) aus den eingelagerten hochradioaktiven Brennelementen. Voraussetzung hierfür ist eine hinreichend große Scherbewegung. Diese wiederum hängt von der Größe der Kluft und der Magnitude des Erdbebens ab. Die von Svensk Kärnbränslehantering AB (SKB) entwickelte Strategie zum Platzieren, Auswählen und ggf. Verwerfen von Einlagerungsbohrlöchern verringert die Wahrscheinlichkeit, dass mit der Einlagerung Klüfte mit kritischer Größe „getroffen“ werden, kann sie jedoch nicht auf Null senken, da sich Lage und Größe einzelner Klüfte nicht vollständig charakterisieren lassen. Da das Netzwerk der Klüfte jedoch statistisch beschrieben werden kann, lassen sich Wahrscheinlichkeiten für das irrtümliche „Treffen“ von Klüften kritischer Größe abschätzen. Anhand von Erdbebenstatistiken kann man außerdem die Häufigkeit von Erdbeben kritischer Magnitude abschätzen. Über eine Kombination beider Größen gelangt man zu einer Abschätzung, mit welcher Wahrscheinlichkeit ein Behälter auf diesem Weg geschädigt werden kann. Wie oben angedeutet, ist diese Möglichkeit einer Quantifizierung selten. Für andere in der schwedischen Sicherheitsanalyse betrachteten Szenarien gelingt Analoges z. B. nicht, die Eintrittswahrscheinlichkeiten wurden „konservativ“ mit 1 abgeschätzt – es wird also unterstellt, dass die Szenarien jeweils mit Sicherheit eintreten.

Wie wirken sich Ungewissheiten in den Eingangsgrößen nun aber auf die Ergebnisse der Modellrechnungen aus? Auch wenn dies trivial klingt – man erhält Aussagen zu dieser Frage durch „Probieren“: In einer Serie von Modellrechnungen für möglichst sinnvoll ausgewählte Parameterkonstellationen wird der Raum möglicher Ergebnisse erkundet, um so Parameterungewissheiten zu charakterisieren. Diese Möglichkeit besteht auch für Szenarienungewissheiten – Modellrechnungen können auch für unterschiedliche Szenarien durchgeführt werden, dann jedoch unter Verwendung ggf. unterschiedlicher, an das jeweils betrachtete Szenario angepasster Simulationsmodelle.

Mehrere Fragestellungen sind bei einem solchen Vorgehen interessant:

Im Rahmen einer deterministischen Vorgehensweise erfolgt das „Probieren“ (s. o.) indem zielgerichtet den einzelnen Parametern „obere“, „untere“, „konservative“ oder auch „beste“ Schätzwerte zugeordnet werden und Modellrechnungen mit unterschiedlichen so entstandenen Konstellationen durchgeführt werden. Auch unterschiedliche Szenarien oder Modelle können auf diese Art deterministisch analysiert werden.

Ein deterministisches Vorgehen sollte in jedem Fall am Beginn jeder Untersuchung auf der Basis von Modellrechnungen (numerische Analyse) stehen: Es muss erkundet werden, ob das Modell (der Computercode) funktioniert, ob plausible Ergebnisse entstehen und welche Fehlerquellen es gibt.

Eine „konservative“ Wahl von Parametern nimmt im Rahmen einer deterministischen Vorgehensweise eine besondere Stellung ein. Eine solche Wahl ist insbesondere in Genehmigungssituationen üblich und plausibel: Wenn alle Ungewissheiten möglichst ungünstig abgeschätzt werden und das Ergebnis trotzdem akzeptabel ist, befindet man sich „auf der sicheren Seite“. Eine „konservative“ Vorgehensweise birgt jedoch auch einige Tücken – so ist es nicht immer offensichtlich, welche Parameterwahl “konservativ“ ist: Um Aussagen zur Konservativität abzuleiten, muss das Modellverhalten im Prinzip bekannt sein. So kann eine „obere“ bzw. „untere“ Schätzung nur dann auch „konservativ“ sein, wenn das Modellergebnis monoton von der betrachteten Größe abhängt. Ist dies nicht der Fall, muss der „konservative“ Wert irgendwo zwischen diesen beiden Größen gesucht werden.

Ein weiteres Problem konservativer Abschätzungen ist, dass sie den Blick auf das „wahre“ oder zumindest „plausible“ Systemverhalten verstellen können, im Extremfall werden möglicherweise mehrere „konservative“ Entscheidungen aus unterschiedlichen Bereichen oder für unterschiedliche Parameter aneinandergereiht und das Modellverhalten weicht immer weiter von dem ab, was man für das modellierte System eigentlich erwartet („Überkonservativität“). Falls dies immer noch zu einer akzeptablen Sicherheitsaussage führt, mag das in einer Genehmigungssituation vertretbar sein. Der Umkehrschluss, dass also bei einer so entstandenen nicht akzeptablen Sicherheitsaussage das System tatsächlich unsicher wäre, ist jedoch nicht richtig. Richtig ist nur, dass in der zugrunde liegenden Rechnung die Konsequenz – z. B. eine effektive Dosis – überschätzt wurde. Wenn ein solcher Dosiswert nun oberhalb des regulatorisch festgelegten Grenzwerts liegt, würde dies auf eine nicht akzeptable Sicherheitsaussage führen. Es ist jedoch unbekannt, um wieviel die Dosis überschätzt wurde. Daher kann auch nicht gesagt werden, ob bei einem „Abbau“ von Konservativität – etwa, indem durch Forschungsarbeit die Parameterungewissheit verkleinert wird – eine akzeptable Sicherheitsaussage (etwa ein Dosiswert unterhalb eines Grenzwerts) abgeleitet werden könnte.

Ebenfalls problematisch ist ein „konservatives“ oder gar „überkonservatives“ Vorgehen, wenn damit Optimierungsentscheidungen gestützt werden sollen. Solche Entscheidungen (z. B. zur Standortauswahl, zur Materialwahl für Barrieren usw.) sollten immer auf einem möglichst guten Systemverständnis beruhen und nicht auf einem durch (Über-)Konservativitäten verzerrten Bild des Systems.

Die deutschen Sicherheitsanforderungen (EndlSiAnfV 2020) zielen explizit auf Optimierung des Endlagersystems ab und fordern entsprechend eine Setzung von Prioritäten hinsichtlich der Betrachtung von Szenarien („Entwicklungen“) im Optimierungsprozess (§ 12 Absatz 3 – Priorität der erwarteten, nachrangig der abweichenden und schließlich der hypothetischen Entwicklungen). Die Endlagersicherheitsuntersuchungsverordnung (EndlSiUntV 2020) verlangt „Modellierungen auf Grundlage realitätsnaher Annahmen“. In der Begründung wird erläutert: „Hinsichtlich der Eingangsparameter sind realitätsnahe Werte (z. B. Medianwerte der bei der Erkundung erhobenen Daten) anzusetzen; von übermäßig konservativen Annahmen sollte abgesehen werden, da diese in den Sensitivitätsanalysen relevante Effekte überdecken können.“ (Deutscher Bundestag 2020)

Mit Sensitivitätsanalysen wird untersucht, welche Ungewissheiten in den Eingangsparametern den größten, welche einen kleineren oder gar keinen Einfluss auf die Ungewissheit des Ergebnisses haben. Auch hier gilt, dass Konservativitäten das Bild des Systemverhaltens und damit auch Sensitivitätsaussagen verzerren.

Idealerweise beziehen solche Strategien umfassende quantitative Aussagen zur Ungewissheit von Parametern ein. Die bekannteste und verbreitetste Möglichkeit, dies zu tun ist die Zuweisung von Verteilungsfunktionen zum Intervall möglicher Parameterwerte. Eine Verteilungsfunktion F (x) beschreibt für jeden Wert x die Wahrscheinlichkeit, dass der „wahre“ Parameterwert kleiner oder gleich diesem Wert x ist.⁴

Wenn man anerkennt, dass deterministische und probabilistische Methoden die Mittel der Wahl zur quantitativen oder semiquantitativen Bewertung all der Ungewissheiten sind, die in die Berechnung sicherheitsrelevanter Indikatoren eingehen, stellen sich wiederum mehrere Fragen:

Antworten auf diese Fragen sollten auf der Basis methodischer, praktischer und auf die Kommunikation gerichteter Überlegungen erfolgen. Thompson (1989) hat vor Jahrzehnten alle drei Fragen in extremer Weise beantwortet und eine Methodik (bei ihm: „Probabilistic Systems Assessment PSA“, bei Becker et al. (2024) Total System Performance Assessment TSPA) vorgeschlagen, in der alle Ungewissheiten quantitativ mittels Wahrscheinlichkeitsverteilungen beschrieben und alle probabilistisch innerhalb eines einzigen vollständig aggregierten Modells behandelt werden. Letztlich war der Ansatz einerseits dem Wunsch nach (vollständiger?) Objektivierbarkeit geschuldet und andererseits auf das damalige britische Regelwerk bezogen, das die Bewertung der Sicherheit letztlich auf einen einzigen Wert (maximal zulässiges Risiko einer schweren Krebserkrankung für eine Einzelperson von 10⁻⁶/a) aggregierte – oder eher reduzierte. Die Methodik wurde weiterentwickelt (Thompson und Sagar 1993) und versuchsweise im britischen Endlagerprogramm angewendet (Sumerling 1992). Der Ansatz wurde dann jedoch nicht weiter verfolgt.

In den letzten Jahrzehnten hat sich gezeigt, dass der geschilderte Ansatz wenig praktikabel ist. Gründe sind u. a., dass die zu berücksichtigenden Ungewissheiten deutlich vielfältiger sind als in den damaligen Studien angenommen (z. B. spielten dort Modellungewissheiten keine Rolle) und dass eine befriedigende Quantifizierung in vielen Fällen nicht gelingt. Ein PSA im Sinne von Thompson (1989) wäre heute extrem komplex, kaum noch überschau- und kommunizierbar und die Quantifizierung an vielen Stellen fragwürdig. Durchgesetzt haben sich hybride Ansätze mit quantitativen und qualitativen Zugängen unter Nutzung deterministischer und probabilistischer Methoden (bei Becker et al. (2024) „Mischansätze“). Die Ausgestaltung dieser Ansätze, die Wichtung einzelner Methoden und ihre Zuordnung zu (Teil-)Problemstellungen unterscheiden sich jedoch in den verschiedenen Safety Cases. Gründe hierfür sind unterschiedliche Regelwerke, aber auch tradierte Vorgehensweisen und persönliche oder kollektive Präferenzen der Autoren.

Die deutschen Verordnungen (EndlSiAnfV 2020; EndlSiUntV 2020) verlangen die getrennte Betrachtung der unterschiedlichen Szenarien (Entwicklungen), wobei es aber der Vorhabenträgerin überlassen bleibt, wie breit oder eng jeweils eine Entwicklung gefasst wird. Ebenfalls der Vorhabenträgerin überlassen bleibt die Methodik, mit der Ungewissheiten innerhalb der „Spannweite“ der jeweiligen Entwicklung (also etwa Parameterungewissheiten) behandelt werden, dies ist also deterministisch, probabilistisch oder auch mit anderen mathematischen Methoden möglich. Eine rein deterministische Behandlung auch der Parameterungewissheiten entspräche bei Becker et al. (2024) einem „deterministischen Ansatz“. Allgemein kann gesagt werden: Eine Entscheidung, in wie weit die Behandlung von Ungewissheiten innerhalb eines mathematischen Ansatzes zusammengefasst wird („lumping“) oder getrennt behandelt wird („splitting“) und welche Methoden zur Anwendung kommen sollen, muss neben dem jeweils geltenden Regelwerk mindestens drei Gesichtspunkte berücksichtigen:

Zu einer ausführlichen Diskussion der Vor- und Nachteile verschiedener Ansätze sowie zu weiterführenden Überlegungen und Optionen z. B. zur Ergebnisdarstellung und Kommunikation vgl. Becker et al. (2024), zu letzterem aber auch Seidl et al. (2024) Hier nur einige ergänzende Anmerkungen:

Die Ausführungen in Becker et al. (2024) und Seidl et al. (2024) beziehen sich auf einen in vielen Regelwerken und Safety Cases zentralen Indikator, die Abschätzung der zusätzlichen (durch das Endlager hervorgerufenen) jährlichen effektiven Dosis für potenziell exponierte Personen, die künftig in der Umgebung des Endlagers leben könnten (s. o.). Die Abb. 2 und 3 in Becker et al. (2024) zeigen zeigen Möglichkeiten der Darstellung von Ergebnissen deterministischer und probabilistischer Ansätze auf. Ergänzend zu dem dort in Abb. 3 dargestellten Medianwert ist natürlich die Darstellung weiterer statistischer Schätzgrößen möglich, vgl. Abb. 2 unten. Für unterschiedliche Entwicklungen (Szenarien) könnte dann jeweils eine probabilistische Analyse durchgeführt und jeweils eine solche Abbildung erzeugt werden.

Bei der jährlichen effektiven Individualdosis handelt es sich um einen sogenannten „Sicherheitsindikator“, also um einen Indikator, der umfassende Aussagen zur Sicherheit des Gesamtsystems ermöglicht (vgl. OECD/NEA 2012b). Der Indikator bezieht sich auf das Verhalten des gesamten Endlagersystems und aggregiert über alle möglicherweise freigesetzten Radionuklide. Noch ein weiterer Schritt der Aggregation wird gegangen, wenn das jährliche individuelle Risiko einer schweren Erkrankung für eine potenziell exponierte Person berechnet wird – in diese Größe gehen neben der genannten Dosis auch noch die Dosis-Wirkungs-Beziehung sowie die Wahrscheinlichkeit ein, dass die betrachtete Person der Dosis ausgesetzt ist. Das schwedische Regelwerk fordert die Betrachtung dieser Größe und legt für sie den Grenzwert 10^-6/a fest (SSM 2008). Zu den konzeptionellen Eigenschaften dieser Größe im Kontext des Safety Case für Endlager vgl. etwa zahlreiche Beiträge in OECD/NEA (2004), zu seinen Eigenschaften hinsichtlich der Kommunikation Hocke und Röhlig (2013).

Ein gravierendes Problem des Dosis- (und mehr noch des Risiko-)Indikators ist, dass seine Berechnung (oder eher: „Abschätzung“) mit kaum eingrenzbaren Ungewissheiten einhergeht: Diese ist zum Beispiel abhängig von Annahmen zum menschlichen Verhalten, zu Ernährungsgewohnheiten und zu den Ökosystemen, die diese Gewohnheiten beeinflussen. Es ist offensichtlich, dass über den Zeitraum von einer Million Jahren diesbezügliche Prognosen praktisch unmöglich sind. Es ist daher üblich, in diesem Bereich der Ungewissheiten Konventionen festzulegen und Annahmen zu postulieren, oft werden diese behördlich vorgegeben (vgl. etwa BAnz 2022). So kann zum Beispiel unterstellt werden, dass künftig lebende Menschen sich so ernähren, wie sie es heute unter den entsprechenden klimatischen und ökologischen Bedingungen üblicherweise tun. Es ergibt sich, dass mittels des Dosis- oder des Risikoindikators keine real eintretenden gesundheitlichen Schäden für künftig lebende Menschen vorhergesagt werden, es werden lediglich die (besser abschätzbaren) Freisetzungen der einzelnen Radionuklide in standardisierter Weise aggregiert und in einen – wenn auch indirekten – Bezug zu Schadenspotenzialen gesetzt.

Auch diese berechneten Nuklid-Freisetzungen selbst sind Indikatoren – sie sind mit weniger Ungewissheiten behaftet als Dosisabschätzungen, aber andererseits sind es disaggregierte Größen mit nicht unmittelbar ersichtlichem Bezug zu einem Schadenspotenzial. Daher bereitet es größere Schwierigkeiten, für derartige Größen Grenz- oder Richtwerte festzulegen.⁸ Trotzdem können auch sie instruktiv hinsichtlich des Systemverhaltens sein: So wird in Abb. 3 unten dargestellt, wie die Schadstoffströme (z. B. Radionuklidströme) durch die Abfolge der Barrieren vermindert werden: Dargestellt wird ein Szenarium, in dem zwei Abfallbehälter mit unterschiedlichen Inventaren zu unterschiedlichen Zeiten versagen, es kommt zu Freisetzungen (schwarze Linie). Auf dem Weg durch die geotechnischen Barrieren (Versatz, Verschlussbauwerke) werden Schadstoffe zurückgehalten und die Freisetzung in das Wirtsgestein (grüne Linie) ist im Vergleich zu der aus den Behältern geringer und etwas verzögert. Den wichtigsten Beitrag zur Zurückhaltung und Verringerung der Freisetzung liefert aber das Wirtsgestein: Eines der beiden lokalen Maxima ist in der blauen Kurve (Freisetzung aus dem Wirtsgestein ins Deckgebirge) bei der gewählten Skalierung gar nicht mehr sichtbar, das andere ist um mehrere Größenordnungen niedriger als das der grünen Kurve (man beachte die logarithmische Skala).

Ungewissheiten hinsichtlich der in Abb. 3 dargestellten Werte könnten durch mehrere Kurven (z. B. für maximale und minimale Freisetzung) oder sogar durch Überlagerungen von Kurvenscharen analog zu Abb. 2 dargestellt werden. Allerdings besteht die Gefahr, dass bei dem Versuch, zu viele Informationen in einer einzigen Abbildung darzustellen die Klarheit der Darstellung signifikant abnimmt.

Im Vergleich zu den Abb. 2 und 3 wird in dieser Darstellungsweise nicht die zeitliche Entwicklung des Indikators dargestellt, sondern zunächst für jede Simulationsrechnung das Maximum über die Zeit gebildet. Da es in der genannten Darstellung um die Frage geht, ob der Indikator amtlich festgesetzte Grenzwerte überschreiten könnte (gleichgültig, zu welchem Zeitpunkt dies geschieht), ist diese Vereinfachung sinnvoll. Die ccdf beschreibt nun für jeden Wert x die Wahrscheinlichkeit, dass der „wahre“ Sicherheitsindikator größer oder gleich diesem Wert x ist. Eine solche Darstellung aggregiert Aussagen zu potenziellen Schäden und zu deren Eintrittswahrscheinlichkeit und kommt damit Regelwerken entgegen, die die gemeinsame Betrachtung und Würdigung beider Größen fordern, z. B. durch Festlegung eines Risiko-Grenzwerts.

In Abb. 4 ist eine solche empirische ccdf für ein fiktives Beispiel dargestellt – die blaue Linie stellt die empirische ccdf auf der Basis einer Vielzahl von Rechenläufen dar.⁹ Der grüne Linienzug kennzeichnet eine Grenzwertsetzung des Typs, wie er aus den Anforderungen der Environment Protection Agency EPA (2022) bekannt ist (s. o.): Der (normierte) Indikator darf mit einer Wahrscheinlichkeit von weniger als 1/10 den Wert 1 und mit einer Wahrscheinlichkeit von weniger als 1/1000 den Wert 10 nicht überschreiten. Die rote Linie würde dagegen einen „klassischen“ Risiko-Grenzwert beschreiben: Sie begrenzt das Produkt aus Konsequenz (Indikatorwert) und Wahrscheinlichkeit auf den Wert 1 (wegen der doppelt logarithmischen Skala erscheint diese Begrenzung als Gerade).¹⁰

Ein weiterer interessanter Aspekt des US-amerikanischen Vorgehens ist, dass dort zwischen epistemischen und aleatorischen Ungewissheiten unterschieden wird. Beide werden probabilistisch, jedoch getrennt voneinander behandelt und dargestellt („zweidimensionale Probabilistik“). Entsprechend werden z. B. Scharen komplementärer Verteilungsfunktionen erzeugt, deren jede eine Rechenserie zu aleatorischen Ungewissheiten bei Annahme eines „feststehenden“ epistemischen Wissensstandes darstellt. Die Streubreite der gesamten Kurvenschar spiegelt dann die epistemischen Ungewissheiten wider, die durch mehrere solcher Rechenserien modelliert wurden (Abb. 5).

Eine noch größere Vielfalt einschlägiger Methoden und Darstellungsmöglichkeiten gibt es im Bereich der Sensitivitätsanalysen, hierzu sei auf die einschlägige Literatur verwiesen. Einen Überblick bieten z. B. Swiler et al. (2021).

Es existiert eine Vielzahl mächtiger Methoden und Werkzeuge zur qualitativen und quantitativen Bewertung von Parameter- und anderer Ungewissheiten und deren Darstellung, die Beschreibungen und Abbildungen in diesem Kapitel und in anderen Beiträgen dieses Sammelbandes tragen eher exemplarischen Charakter. Die Wahl der jeweiligen Methode und des jeweiligen Werkzeugs muss zunächst so erfolgen, dass den jeweils geltenden regulatorischen Vorgaben entsprochen wird. Darüber hinaus besteht aber – auch im Rahmen der Vorgaben durch die jeweiligen Regelwerke – eine große Flexibilität für die Erstellung von Safety Cases. Vor- und Nachteile insbesondere der Wahl von Indikatoren sowie von unterschiedlichen Methoden hinsichtlich ihrer internen Logik und der jeweiligen Darstellungsweisen und deren Kommunizierbarkeit sollten weiter erforscht und erprobt werden.

Hinsichtlich der Kommunikation und Kommunizierbarkeit müssen unterschiedliche Zielgruppen unterschieden werden: Primäre Aufgabe der Autoren des Safety Case (der Vorhabenträgerin) ist die Formulierung von Vorschlägen, wie mit Ungewissheiten im weiteren Verfahren umzugehen ist und wie entsprechende Forschungs-, Entwicklungs- und Erkundungsprogramme zu gestalten sind. Darauf aufbauend ist zu entscheiden, ob der Safety Case insgesamt – einschließlich der genannten Vorschläge – als Entscheidungsgrundlage für das weitere Vorgehen angesichts der identifizierten Ungewissheiten und der Pläne zum Umgang mit ihnen tauglich ist. Es ist dann die Aufgabe von Entscheidungsträgern in Behörden und/oder Politik, ein solche Entscheidung – ggf. auch mit Änderungen im Vergleich zum Vorschlag – zu treffen oder zu verwerfen. Schließlich werden Inhalte des Safety Case im Rahmen von Partizipationsformaten Stakeholdern (z. B. aus Gebietskörperschaften) und der interessierten Öffentlichkeit kommuniziert und in diesen Formaten ggf. auch verändert.

Es ist davon auszugehen, dass auch bei Vorhabenträgerin und Entscheidungsträgern sowie deren Gutachtern nur wenige Personen beschäftigt sind, die mit den Details mathematischer Methoden zum Umgang mit Ungewissheiten, deren Aussagekraft und deren Stärken und Schwächen gut vertraut sind – dies gilt es bei der Planung des methodischen Vorgehens in der Sicherheitsanalyse und bei der Kommunikation von Ergebnissen zu beachten. Im Bereich der Vorhabenträgerin empfiehlt es sich nach Meinung des Autors, alle Leitungsebenen von Beginn an in die Planung einzubeziehen und das Personal durch Aus- und Weiterbildungsmaßnahmen an die Problematik heranzuführen. Letzteres gilt auch für Spezialistinnen und Spezialisten einzelner natur- und ingenieurwissenschaftlicher Fachgebiete, für die es wichtig ist, den Platz und die Rolle ihrer Arbeitsergebnisse im Gesamtsystem zu verstehen. Umgekehrt kann durchaus auch damit gerechnet werden, dass bei adäquater Gestaltung und hinreichender Allokation von Ressourcen aus solchen Aus- und Weiterbildungsformaten wertvolle Anregungen für Methodik und Kommunikation entstehen. Hinsichtlich der Kommunikation mit anderen Stakeholdern und der interessierten Öffentlichkeit besteht Forschungsbedarf, wobei zunehmend auch auf Erfahrungen aus anderen Wissensgebieten (Klimaforschung, Umgang mit Pandemien) zurückgegriffen werden kann.

Es bleibt auch zu beachten, dass die gravierenderen und schwieriger einzugrenzenden Ungewissheiten nicht im Bereich der Eingangsparameter für Modelle liegen, sondern eher in den konzeptionellen und phänomenologischen Grundlagen dieser Modelle, im Bereich potenzieller künftiger Entwicklungen (Szenarien) sowie im Bereich der „unknown unknowns“ und der „ignored knowns“. Nach der Erfahrung des Autors wird diesem Umstand bei der Erstellung von Safety Cases die notwendige Aufmerksamkeit gewidmet, in der Kommunikation mit Nicht-Spezialisten kommt ihm jedoch – auch durch deren Interessenlage bedingt – nicht immer das ihm gebührende Gewicht zu. In Diskussionen mit der interessierten Öffentlichkeit werden durchaus Zweifel an der Validität von Annahmen und Modellen geäußert, gleichzeitig werden Grenzwerte zu Indikatoren, die mit solchen Modellen ermittelt werden, intensiv und gelegentlich kontrovers diskutiert (Hocke, Röhlig 2013; BMUV 2022).

Einige der in diesem Kapitel genannten Fragen wurden und werden im Rahmen des Vorhabens TRANSENS (vgl. z. B. Röhlig et al. 2021; TRANSENS 2023) angerissen, eine umfassende Betrachtung steht jedoch aus. Die bislang vorliegenden Ergebnisse zeigen, dass transdisziplinäre Formate das Potenzial haben, zur Weiterentwicklung der Methodik des Safety Case und der Kommunikation von Inhalten und Ergebnissen beizutragen.

Dieser Beitrag ist im Rahmen des Vorhabens TRANSENS entstanden, einem Verbundprojekt, in dem 16 Institute bzw. Fachgebiete von neun deutschen und zwei Schweizer Universitäten und Forschungseinrichtungen zusammenarbeiten. Das Vorhaben wird vom Bundesministerium für Umwelt, Naturschutz, nukleare Sicherheit und Verbraucherschutz (BMUV) aufgrund eines Beschlusses des Deutschen Bundestages und im Niedersächsischen Vorab der Volkswagenstiftung vom Niedersächsischen Ministerium für Wissenschaft und Kultur (MWK) von 2019 bis 2024 gefördert (FKZ 02E11849A-J).