1 Uvod Kriterij tveganja je meja, ki loči sprejemljivo od nesprejemljivega tveganja oz. loči, kaj je varno in kaj ni. Namen raziskave je določiti kvantitativne kriterije tveganja za trajne spremembe v jedrski elektrarni, kar pomeni določitev kriterijev, ki bodo na podlagi Prejet 1. september, 2005 Odobren 16. junij, 2006 150 Čepin verjetnosti določenih dogodkov in njihovih posledic omogočili ločiti, katere trajne spremembe v jedrski elektrarni je varno narediti in katere ne. Potreba za določitev kriterijev tveganja se je izoblikovala v zadnjih letih, ko se je na področju uporabe verjetnostnih varnostnih analiz doseglo soglasje glede uporabnosti sprejemanja odločitev z upoštevanjem tveganja [1], [2], [3], [4], [5]. Pot do soglasja glede sprejemanja odločitev na podlagi tveganja je bila dolga in je zahtevala precej naporov raziskovalcev, ki so dokazovali uporabnost verjetnostnih varnostnih analiz in njihovih rezultatov v pomoč pri odločanju [6], [7], [8], [9], [10], [11], [12], [13], [16]. Pregled nedavnih aktivnosti na področju kriterijev tveganja je v poročilih [4], [14], [15]. V nadaljevanju je predstavljen koncept definiranja kriterijev. Podani so ilustrativni primeri in najpomembnejše ugotovitve, ki izhajajo iz razvoja kriterijev in iz prikaza primerov. 2 Zasnova kriterijev tveganja Določitev kriterijev je zasnovana tako, da je primerjano tveganje v osnovnem stanju elektrarne s tveganjem v stanju predvidene spremembe. Spremembe, ki tveganje zmanjšajo, so lahko sprejemljive. Spremembe, ki le neznatno povečajo tveganje, so zaradi drugih morebitnih prednosti še lahko sprejemljive. Spremembe, ki znatneje povečajo tveganje, ne morejo biti sprejemljive, tudi če prinašajo druge morebitne prednosti [1], [4]. Temeljni pogoji za uporabo kvantitativnih kriterijev tveganja so: - predlagana sprememba mora ustrezati obstoječim zakonskim zahtevam, - predlagana sprememba mora ustrezati načelu varnosti v globino, - ob potencialni izvedbi predlagane spremembe bi še vedno obdržali zadostne varnostne meje, - kakovost modela in rezultatov verjetnostnih varnostnih analiz elektrarne mora ustrezati določenim minimalnim zahtevam, da so model in rezultati sprejemljivi za uporabo kvantitativnih kriterijev. 2.1 Merila tveganja Uporabljena so naslednja merila tveganja [1], [4]: - frekvenca poškodbe sredice (CDF), ki je rezultat verjetnostnih varnostnih analiz in je odvisna od frekvenc začetnih dogodkov, kot so na primer: zlom velike cevi, zlom srednje velike cevi, popolna izguba električnega napajanja in verjetnosti kombinacij odpovedi varnostnih sistemov [1], [4], - sprememba frekvence poškodbe sredice (dCDF), ki jo dobimo kot razliko med CDF pri določenem pogoju (CDFnew) in med nominalnim CDF (dCDF=CDFnew-CDF), - frekvenca velikih zgodnjih izpustov (LERF), ki je rezultat verjetnostnih varnostnih analiz in je odvisna od frekvenc začetnih dogodkov, kot so na primer: zlom velike cevi, zlom srednje velike cevi, popolna izguba električnega napajanja, in verjetnosti kombinacij odpovedi varnostnih sistemov vključno z upoštevanjem sistemov zadrževalnega hrama in samega zadrževalnega hrama (i.e. jeklena lupina, ki neprodušno zapira jedrski reaktor in pripadajoče sisteme in ki je obdana z železobetonsko steno), - sprememba frekvence velikih zgodnjih izpustov (dLERF) , ki jo dobimo kot razliko med LERF pri določenem pogoju (LERFnew) in med nominalnim LERF (dLERF=LERFnew- LERF). 2.2 Določitev kriterijev tveganja za trajne spremembe V kategorijo trajnih sprememb sodijo spremembe v elektrarni, ki za stalno lahko spremenijo tveganje. Sem sodijo predvsem fizične spremembe glede opreme ali spremembe postopkov. Poleg kvantitativnih kriterijev, ki so definirani v nadaljevanju, je treba upoštevati tveganje zaradi trajne spremembe tudi kvalitativno na podlagi strokovne ocene z upoštevanjem načela ALARP (As Low As Reasonably Practicable) [4]. Definirani sta dve množici kvantitativnih kriterijev: - kvantitativni kriteriji glede frekvence poškodbe sredice in - kvantitativni kriteriji glede frekvence velikih zgodnjih izpustov. Trajna sprememba mora ustrezati vsaki od obeh množic kriterijev. Primer I: Upravni organ obravnava trajno spremembo v jedrski elektrarni, če velja: 1. Sprememba frekvence poškodbe sredice (dCDF) zaradi predlagane trajne spremembe tveganja je manjša od 0 (frekvenca poškodbe sredice po uveljavitvi predlagane spremembe bo manjša, kot je bila pred predlagano spremembo). 2. Sprememba frekvence velikih zgodnjih izpustov (dLERF) zaradi predlagane trajne spremembe tveganja je manjša od 0 (frekvenca velikih zgodnjih izpustov po uveljavitvi predlagane spremembe bo manjša, kot je bila pred predlagano spremembo). Obravnava trajne spremembe s strani upravnega organa za primer I lahko pomeni odobritev predlagane spremembe. Razvoj kriterijev tveganja za trajne spremembe v jedrski elektrarni 151 Primer II: Upravni organ obravnava trajno spremembo v jedrski elektrarni, če veljajo vse naslednje točke: 1. Frekvenca poškodbe sredice (CDF), ki je izračunana z neodvisno preverjenim in celostnim modelom verjetnostnih varnostnih analiz, ki odraža dejansko stanje elektrarne pred predlagano spremembo in ki temelji na upoštevanju standarda o verjetnostnih varnostnih analizah, bistveno ne presega 1E- 4/rl (rl pomeni: reaktor leto). 2. Frekvenca velikih zgodnjih izpustov (LERF), ki je izračunana z neodvisno preverjenim in celostnim modelom verjetnostnih varnostnih analiz, ki odraža dejansko stanje elektrarne pred predlagano spremembo in ki temelji na upoštevanju standarda o verjetnostnih varnostnih analizah, bistveno ne presega 1E- 5/rl (rl pomeni: reaktor leto). 3. Sprememba frekvence poškodbe sredice (dCDF) zaradi predlagane trajne spremembe: a) ne presega 1% frekvence poškodbe sredice in hkrati b) ne presega vrednosti 1E-6/rl. 4. Sprememba frekvence velikih zgodnjih izpustov (dLERF) zaradi predlagane trajne spremembe: a) ne presega 1% frekvence velikih zgodnjih izpustov in hkrati b) ne presega vrednosti 1E-7/rl. 5. Ovrednotenje trajne spremembe s stališča tveganja je mogoče realno in ustrezno modelirati v verjetnostnih varnostnih analizah in je to tako tudi izvedeno; če ovrednotenje trajne spremembe s stališča tveganja ni mogoče realno in ustrezno modelirati v verjetnostnih varnostnih analizah, je treba spremembo drugače ovrednotiti. Zahteve glede modeliranja so zapisane v [3]. 6. Kumulativni prispevek tveganja zaradi predhodnih trajnih sprememb ni prevelik; priporočilo: vsota sprememb frekvence poškodbe sredice zaradi predhodnih trajnih sprememb ne presega 5% frekvence poškodbe sredice izračunane pred predlagano spremembo; vsota sprememb frekvence velikih zgodnjih izpustov zaradi predhodnih trajnih sprememb ne presega 5% frekvence velikih zgodnjih izpustov, izračunane pred predlagano spremembo; časovno obdobje je vsaj interval PSR – Periodic Safety Review. Obravnava trajne spremembe s strani upravnega organa za primer II lahko pomeni odobritev predlagane spremembe. Primer III: Upravni organ lahko obravnava trajno spremembo v jedrski elektrarni, če veljajo vse naslednje točke: 1. Frekvenca poškodbe sredice (CDF), ki je izračunana z neodvisno preverjenim in celostnim modelom verjetnostnih varnostnih analiz, ki odraža dejansko stanje elektrarne pred predlagano spremembo in ki temelji na upoštevanju standarda o verjetnostnih varnostnih analizah, je manjša od 1E-4/rl. 2. Frekvenca velikih zgodnjih izpustov (LERF), ki je izračunana z neodvisno preverjenim in celostnim modelom verjetnostnih varnostnih analiz, ki odraža dejansko stanje elektrarne pred predlagano spremembo in ki temelji na upoštevanju standarda o verjetnostnih varnostnih analizah, je manjša od 1E-5/rl. 3. Sprememba frekvence poškodbe sredice (dCDF) zaradi predlagane trajne spremembe: a) ne presega 10% frekvence poškodbe sredice in hkrati b) ne presega vrednosti 1E-5/rl - večja ko je sprememba frekvence poškodbe sredice, podrobneje je treba proučiti vplive predlagane spremembe. 4. Sprememba frekvence velikih zgodnjih izpustov (dLERF) zaradi predlagane trajne spremembe: a) ne presega 10% frekvence velikih zgodnjih izpustov in hkrati b) ne presega vrednosti 1E-6/rl - večja ko je sprememba frekvence velikih zgodnjih izpustov, podrobneje je treba proučiti vplive predlagane spremembe. 5. Ovrednotenje trajne spremembe s stališča tveganja je mogoče realno in ustrezno modelirati v verjetnostnih varnostnih analizah in je tako tudi izvedeno; če ovrednotenje trajne spremembe s stališča tveganja ni mogoče realno in ustrezno modelirati v verjetnostnih varnostnih analizah, je treba spremembo drugače ovrednotiti. 6. Kumulativni prispevek tveganja zaradi predhodnih trajnih sprememb ni prevelik; priporočilo: vsota sprememb frekvence poškodbe sredice zaradi predhodnih sprememb ne presega 10% frekvence poškodbe sredice izračunane pred predlagano spremembo; vsota sprememb frekvence velikih zgodnjih izpustov zaradi predhodnih sprememb ne presega 10% frekvence velikih zgodnjih izpustov, izračunane pred predlagano spremembo; časovno obdobje je vsaj interval PSR – Periodic Safety Review. 152 Čepin CDF [/rl] dCDF [/rl] Primer IV Primer II Primer III 1E-5 1E-5 oz. 10%CDF 1E-6 oz. 1%CDF 1E-4Primer I Slika 1. Kvantitativni kriteriji glede frekvence poškodbe sredice (primer IV – nesprejemljivo tveganje). Figure 1. Quantitative risk criteria considering core damage frequency (primer IV – area of unacceptable risk). LERF [/rl] dLERF [/rl] Primer IV Primer II Primer III 1E-6 1E-6 oz. 10%LERF 1E-7 oz. 1% LERF 1E-5Primer I Slika 2. Kvantitativni kriteriji glede frekvence velikih zgodnjih izpustov (primer IV – nesprejemljivo tveganje). Figure 2. Quantitative risk criteria considering large early release frequency (primer IV – area of unacceptable risk). CDF [/rl] dCDF [/rl] Primer IV Primer II Primer III 1E-5 1E-5 oz. 10%CDF 1E-6 oz. 1%CDF 1E-4Primer I dCDF=1,66E-5/rl , CDF=3,61E-5/rl za spremembo AOT za RWST (1h->16h) for AOT change for RWST (1h->16h) Slika 3. Prikaz tveganja za potencialno spremembo dovoljenega časa izven obratovanja (AOT) za zbiralnik vode za menjavo goriva (RWST). Figure 3. Risk connected with potential change of Allowed Outage time (AOT) for Refuelling Water Storage Tank (RWST). Razvoj kriterijev tveganja za trajne spremembe v jedrski elektrarni 153 Obravnava trajne spremembe s strani upravnega organa za primer III lahko pomeni odobritev predlagane spremembe. Primer IV: Upravni organ ne more obravnavati trajne spremembe v jedrski elektrarni, če velja vsaj eno od naštetega: 1. Sprememba frekvence poškodbe sredice (dCDF) zaradi predlagane trajne spremembe presega 10% frekvence poškodbe sredice ali presega 1E-5/rl; ali če pri CDF, večjem od 1E- 4/rl, sprememba dCDF presega 1E-6/rl; ali če CDF bistveno presega 1E-4/rl. 2. Sprememba frekvence velikih zgodnjih izpustov (dLERF) zaradi predlagane trajne spremembe presega 10% frekvence velikih zgodnjih izpustov ali presega 1E-6/rl; ali če pri LERF, večjem od 1E-5/rl, sprememba dLERF presega 1E-7/rl; ali če LERF bistveno presega 1E-5/rl. Upravni organ ne more obravnavati trajne spremembe v jedrski elektrarni, če je ne moremo uvrstiti v enega izmed primerov I, II ali III. Primer IV predstavlja nesprejemljivo območje tveganja. Slika 1 shematično prikazuje povzetek navedenih kvantitativnih kriterijev glede frekvence poškodbe sredice. Slika 2 shematično prikazuje povzetek navedenih kvantitativnih kriterijev glede frekvence velikih zgodnjih izpustov. Glavna razlika navedene metode v primerjavi z ameriško metodo je v upoštevanju sprememb obeh meril tveganja tudi relativno poleg absolutnih meja, ki so predpisane v ameriški metodi [1]. 3 Primera uporabe kriterijev Izbrana sta dva primera uporabe. Prvi sodi med fizične spremembe v varnostnih sistemih, drugi pa med administrativne spremembe glede varnostnih zahtev, katerim mora biti v vsakem trenutku zadoščeno. Oba primera sta vezana na verjetnostni varnostni model trizančne jedrske elektrarne z dvema enotama, ki ima več kot 20 let dobrih delovnih izkušenj, in od katerih je upoštevana ena enota. Ena izmed značilnosti elektrarne je, da je redundantni dizelski generator lahko vezan na katerokoli enoto. 3.1 Inštalacija dodatnega dizelskega generatorja Kot primer trajne spremembe je vzeta potencialna inštalacija dodatnega dizelskega generatorja, ki bi ob izpadu zunanjega električnega napajanja zagotovil električno energijo za delovanje varnostnih sistemov v jedrski elektrarni, ki sicer že ima dva redundantna dizelska generatorja. Izračun verjetnostnih varnostnih analiz elektrarne daje enega izmed rezultatov: CDF=3,61E-5/rl. Z upoštevanjem sprememb v modelu verjetnostnih varnostnih analiz, ki ustrezajo inštalaciji potencialnega tretjega dizelskega generatorja, dobimo novo vrednost enega izmed rezultatov verjetnostnih varnostnih analiz: CDFnew=3,55E-5/rl. Izračun dCDF kaže, ker je bilo sicer že vnaprej pričakovano in to je zmanjšanje tveganja (primer I) oz. izboljšanje varnosti, kar je dobro izhodišče za odobritev potencialne spremembe. Vendar analiza kaže tudi naslednje. Varnost se le malo poveča, hkrati so stroški spremembe zelo visoki, kar lahko kaže na slabo upravičenost spremembe. 3.2 Sprememba predpisov glede zbiralnika vode za menjavo goriva Za primer trajne spremembe je vzeta potencialna sprememba dovoljenega časa izven obratovanja za zbiralnik vode za menjavo goriva, ki je predpisana v tehničnih specifikacijah, in sicer z ene ure na 16 ur. Trenutno obstaja v predpisih elektrarne oz. v njenih tehničnih specifikacijah zahteva, da je v primeru neoperabilnosti zbiralnika za dalj kot eno uro treba elektrarno privesti v varnejše stanje (v večini primerov je varnejše stanje ustavitev elektrarne). Potencialna sprememba predpisanega časa z ene ure na 16 ur bi dajala bistveno več časa na voljo za odpravo morebitnih težav z zbiralnikom, ne da bi bilo treba elektrarno zaustaviti. Verjetnostne varnostne analize za navedeni primer kažejo naslednje. Izračun verjetnostnih varnostnih analiz elektrarne daje enega izmed rezultatov: CDF=3,61E-5/rl. Ker gre za oceno trenutnega stanja, je ta enaka tistemu v prejšnjem primeru. Z upoštevanjem sprememb v modelu verjetnostnih varnostnih analiz, ki ustrezajo spremembi predpisanega časa, dobimo novo vrednost enega izmed rezultatov verjetnostnih varnostnih analiz: CDFnew=5,27E-5/rl. Izračun dCDF kaže, da nerazpoložljivost zbiralnika precej vpliva na tveganje. Izračun kaže povečanje merila tveganja dCDF=1,66E-5/rl, kar je večje od sprejemljivega. Glede na to, da potencialna sprememba pride v nesprejemljivo območje tveganja (primer IV), takšna sprememba ne more biti sprejemljiva. Slika 3 grafično kaže, da je tveganje v nesprejemljivem območju. 4 Sklep Namen raziskave je bil določiti kriterije, ki bodo na podlagi verjetnosti določenih dogodkov in njihovih posledic omogočili ločiti, katere trajne spremembe v jedrski elektrarni je varno narediti in katere ne. Članek predstavlja način, kako določiti kriterije tveganja za trajne spremembe v jedrski elektrarni. Kriteriji tveganja so zastavljeni tako, da je morebitno povečanje tveganja omejeno tako absolutno kot relativno. Vrednosti kvantitativnih kriterijev tveganja za 154 Čepin trajne spremembe so izbrane na način, ki upošteva svetovno prakso in razmere v Sloveniji. V primerjavi z ameriško metodo, ki je v svetu precej poznana in ki temelji le na absolutni omejitvi tveganja, so dodane še relativne omejitve tveganja. Te preprečujejo, da bi se v primeru, ko bi verjetnostne varnostne analize pokazale izredno nizke vrednosti meril tveganja, lahko dovoljevale tudi nekajkratno povečanje tveganja. Čeprav kriteriji glede frekvence poškodbe sredice niso neodvisni od kriterijev glede frekvence velikih zgodnjih izpustov, so upoštevani oboji kriteriji. Pravzaprav je strožje od obeh meril tveganja tisto, ki prevlada. Za sprejemljivost določene spremembe morajo biti izpolnjeni kriteriji vezani na oba parametra: frekvenca poškodbe sredice (CDF) in frekvenca velikih zgodnjih izpustov LERF). I.e. sprememba mora zadostiti tako kriterijem glede frekvence poškodbe sredice in glede njene spremembe ter kriterijem glede frekvence velikih zgodnjih izpustov in glede njihove spremembe. 5 Literatura [1] RG 1.174, An Approach for Using Probabilistic Risk Assessment in Risk-Informed Decisions on Plant-Specific Changes to the Licensing Basis, US NRC Regulatory Guide 1.174, Rev. 1, 2002. [2] RG 1.177, An Approach for Plant-Specific, Risk- Informed Decisionmaking: Technical Specifications, US NRC Regulatory Guide 1.177, 1998. [3] RG 1200, An Approach for Determining the Technical Adequacy of Probabilistic Risk Assessment Results for Risk-Informed Activities, Regulatory Guide for Trial Use, US NRC, 2004. [4] M. Čepin, R. Jordan Cizelj, B. Mavko, Razvoj kvantitativnih in kvalitativnih kriterijev za uporabo verjetnostnih varnostnih analiz pri odločanju, Institut Jožef Stefan, IJS-DP-8861, 2004. [5] P. Samanta, I. S. Kim, T. Mankamo, W. E. Vesely, Handbook of Methods for Risk-Based Analyses of Technical Specifications, NUREG/CR-6141, US NRC, 1995. [6] ASME RA-S-2002, Standard for Probabilistic Risk Assessment for Nuclear Power Plant Applications, 2002. [7] PRA Procedures Guide, NUREG/CR-2300, US NRC, 1982. [8] M. Čepin, B. Mavko, Probabilistic Safety Assessment Improves Surveillance Requirements in Technical Specifications, Reliability Engineering and System Safety, 1997, Vol. 56, pp. 69-77. [9] M. Čepin, B. Mavko, A Dynamic Fault Tree, Reliability Engineering and System Safety, 2002, Vol. 75, pp. 83-91. [10] M. Čepin, B. Mavko, Optimizacija intervalov nadzornega preizkušanja v jedrski elektrarni na osnovi verjetnostih varnostnih analiz, Elektrotehniški Vestnik, Ljubljana, 1996, Vol. 63 (3), str. 179-185. [11] B. Mavko, M. Čepin, Primerjava strategij preizkušanja, Elekrotehniški vestnik, Ljubljana, 1997, Vol. 64 (2/3), pp. 142-147. [12] M. Čepin, Optimization of Safety Equipment Outages Improves Safety, Reliability Engineering and System Safety, 2002, Vol. 77, pp.71-80. [13] M. Čepin, Analysis of Truncation Limit in Probabilistic Safety Assessment, Reliability Engineering and System Safety, 2005, Vol. 87 (3), pp. 395-403. [14] H. P. Berg, R. Goertz, E. Schimetschka, Quantitative Probabilistic Safety Criteria for Licensing and Operation of Nuclear Plants, BFS- SK-03/03, 2003. [15] NKS-44, J. Holmberg, U. Puikkinen, T. Rosquist, K. Simola, Decision Criteria in PSA Applications, 2001. [16] R. Prosen, I. Vrbanić, M. Kaštelan, On-Line Maintenance PSA Support at NPP Krško, Nuclear Energy in Central Europe 2000, Proceedings, no. 609, pp. 1-9 Marko Čepin je diplomiral leta 1992 na Fakulteti za elektrotehniko in računalništvo ter magistriral leta 1995 in doktoriral leta 1999 na Fakulteti za matematiko in fiziko Univerze v Ljubljani. Zaposlen je na Institutu "Jožef Stefan", Odsek za reaktorsko tehniko. Leta 2002 je bil izvoljen v naziv docent na Fakulteti za elektrotehniko. Njegovo glavno področje raziskav sta razvijanje in analiza metod za izboljševanje zanesljivosti in varnosti sistemov.