DŮVOD VYDÁNÍ

Státní úřad pro jadernou bezpečnost (SÚJB) je ústředním orgánem státní správy, který vykonává státní správu při mírovém využívání jaderné energie a ionizujícího záření a v oblasti nešíření chemických a biologických zbraní.

V rámci své pravomoci a působnosti, v souladu se zásadami činnosti správních orgánů a mezinárodní praxí, vydává bezpečnostní návody a doporučení, ve kterých dále roz- pracovává požadavky na zajištění jaderné bezpečnosti, technické bezpečnosti, radiační ochrany, monitorování radiační situace, zvládání radiační mimořádné události a za- bezpečení.

CÍL

Cílem Návodu je poskytnout soubor doporučení pro splnění platných legislativních požadavků, zejména zákona č. 263/2016 Sb., atomový zákon [P5], vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona [P6], vyhlášky č. 329/2017 Sb., o požadavcích na projekt jaderného zařízení [P9] a vyhlášky č. 359/2016 Sb., o podrobnostech k zajištění zvládání radiační mimořádné události [P10]. V něm uváděná doporučení též umožňují plnit požadavky příslušných referenč- ních úrovní WENRA (zejména RL O)[G1] a také požadavky a doporučení IAEA, kte- ré jsou kladeny na provádění a řízení projektu PSA pro JZ uvedená v zákoně č. 263/2016 Sb., atomový zákon, § 48, odst. 2, písm. b)[P5]. V předchozích větách uve- dené se vztahuje též na využití PSA v aplikacích sloužících zajištění dostatečné úrovně jaderné bezpečnosti při projektování a během celého životního cyklu JZ uvedená v zákoně č. 263/2016 Sb., atomový zákon, § 48, odst. 2, písm. b)[P5].

Doporučení prezentovaná v Návodu jsou založena na mezinárodně přijímaných a ově- řených postupech. Tato doporučení mají za cíl zajistit dostatečnou kvalitu a technickou úroveň PSA jako takového a tím i jeho následného využití při možných aplikacích umožňujících fundované integrované rizikově informované rozhodování. Dalším cí- lem Návodu je doporučit standardní rámec, standardní požadavky a též příslušnou sa- du dokumentů, což by mělo usnadnit nezávislé posuzování PSA i jeho různých aplika- cí správním orgánem (SÚJB) nebo externími nezávislými subjekty.

Tento bezpečnostní Návod se skládá z čtyř hlavních kapitol a dvou Příloh. Na začátku je uveden přehled zkratek a použitých pojmů. V Úvodu je uveden důvod vydání, cíl Návodu, jeho působnost a platnost. Třetí kapitola pak obsahuje vlastní Návod, který je tematicky rozdělen do několika podkapitol. V první z nich jsou uvedena východiska, v další cíle a obecné požadavky, ve třetí pak obecné zásady pro provádění a používání PSA. Kapitola 3.4 obsahuje doporučení pro PSA 1.úrovně a jeho aplikace. Kapitola

PSA 2. ÚROVNĚ

PŮSOBNOST

Návod se primárně soustředí na JZ ve smyslu Úmluvy o jaderné bezpečnosti [P4], tj. „civilní“ JE; je aplikovatelný pro v ČR provozované JE, jakož i pro JE, s jejichž vý- stavbou se v ČR v budoucnu počítá (tj. typ PWR). V něm popisované principy a po- stupy lze v omezené míře vztáhnout také na další JZ, zejména výzkumná JZ s jaderným reaktorem s výkonem vyšším než 2 MW, ovšem samozřejmě s přihlédnutím ke specifikům takových JZ.

PLATNOST

Bezpečnostní Návod, resp. jeho poslední revize, nabývá platnosti publikací na www.sujb.cz, účinnost je uvedena na str. 2.Revize bezpečnostního Návodu je prová- děna na základě nových poznatků vědy a techniky, obdržených připomínek veřejnosti a zkušeností s jeho praktickým používáním. 3.VLASTNÍ NÁVOD

VÝCHODISKA

Požadavek na pravidelné provádění hodnocení, ověřování a, v přiměřeně dosažitelné míře, trvalé zvyšování jaderné bezpečnosti jaderných zařízení systematickým a prokaza- telným způsobem je uveden například v článku 6 odst. 2 Směrnice Rady 2009/71/EURATOM [P1]. Význam komplexního a systematického hodnocení bezpeč- nosti JZ, které se má provádět v průběhu celé doby jejich životního cyklu, zdůrazňuje rovněž například čl. 14 Úmluvy o jaderné bezpečnosti [P4].

Zákon č. 263/2016 Sb., atomový zákon [P5] uvádí v § 48, odst. 2, písm. b) následující: Hodnocení bezpečnosti musí zahrnovat pravděpodobnostní hodnocení bezpečnosti v případě jaderného zařízení, které není výzkumným jaderným zařízením s jaderným re- aktorem o tepelném výkonu nižším než 2 MW, skladem radioaktivního odpadu, skla- dem vyhořelého jaderného paliva nebo úložištěm radioaktivního odpadu. Z uvedeného legislativního požadavku tedy plyne, že PSA musí být provedeno pro JE i pro všechna ostatní JZ, jejichž součástí je jaderný reaktor s výkonem vyšším než 2 MW.

Zákon č. 263/2016 Sb., atomový zákon [P5] též uvádí v § 48, odst. 6 následující: Prová- děcí právní předpis stanoví a)pravidla provádění hodnocení bezpečnosti a jednotlivých typů hodnocení a lhůty, v nichž jsou prováděny, b)způsob dokumentování hodnocení bezpečnosti a jednotlivých typů hodnocení a ob- sah dokumentace hodnocení bezpečnosti a jednotlivých typů hodnocení, c)způsob využití hodnocení bezpečnosti. Tímto prováděcím právním předpisem je zejména vyhláška č. 162/2017 Sb., o požadav- cích na hodnocení bezpečnosti podle atomového zákona [P6], která uvádí v § 3 obecné požadavky na hodnocení bezpečnosti a konkrétně problematice PSA se věnuje v § 5 - § 12, dále pak vyhláška č. 329/2017 Sb., o požadavcích na projekt jaderného zařízení [P9]

• § 20 a 21, § 23, § 25, § 28, příloha č. 4 bod 19 a vyhláška č. 359/2016 Sb., o podrob-
nostech k zajištění zvládání radiační mimořádné události [P10] - § 3 Pravidla k prová- dění analýzy a hodnocení radiační mimořádné události, § 4 Požadavky na stanovení zó- ny havarijního plánování a dále příloha č. 1 Požadavky na obsah analýzy a hodnocení radiační mimořádné události a příloha č. 2 Požadavky na obsah stanovení zóny havarij- ního plánování.

V dokumentu Safety Reference Levels for Existing Reactors, Update in Relation to Les- sons Learned from TEPCO Fukushima Dai-ichi Accident, vydaném WENRA v roce 2014, jsou stanoveny požadavky na PSA a jeho aplikace, platné v zemích EU (zejména v referenční úrovni O, ale i F a S)[G1].

Základní bezpečnostní principy, podrobně definované v dokumentu IAEA Fundamental Safety Principles, SF-1 [G2], stanovují zásady pro zajištění ochrany pracovníků, obyva- telstva a životního prostředí před škodlivými vlivy ionizujícího záření. Tyto zásady zdů- razňují potřebu hodnotit a kontrolovat riziko představované JZ. Konkrétně je třeba sta- novit, zda jsou radiační rizika tak nízká, jak je rozumně dosažitelné (uplatnění principu ALARA) a všechna taková rizika vyplývající z běžného, abnormálního i havarijního provozu musejí být předem ohodnocena a následně periodicky přehodnocována během životního cyklu příslušného JZ.

Tyto obecné principy jsou dále konkrétněji rozpracovány v dokumentu IAEA Safety Assessment for Facilities and Activities, GSR Part 4 (Rev. 1) [G3]. Dokument IAEA SSR-2/1 (Rev. 1) uvádí požadavky na využití pravděpodobnostního přístupu v rámci požadavků na projekt JE [G5]. Dokumenty IAEA SSG-3 [G6] a SSG-4 [G7] podrobně rozpracovávají vlastní problematiku PSA 1.a 2.úrovně. Některé z dalších dokumentů IAEA, které se věnují problematice PSA a jeho aplikací, jsou též uvedeny v seznamu li- teratury.

CÍLE A OBECNÉ POŽADAVKY

Pravděpodobnostní hodnocení bezpečnosti slouží k systematickému a komplexnímu provedení kvantitativního hodnocení bezpečnosti JZ ve smyslu vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona [P6]. Jeho vý- sledky se musejí využívat v rámci rizikově informovaných rozhodovacích procesů, viz vyhláška č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 10 a § 11 [P6].

PSA poskytuje metodický přístup pro identifikaci havarijních scénářů navazujících na široké spektrum iniciačních událostí a dále obsahuje systematické a realistické určení frekvencí těžkých a radiačních havárií a jejich následků.

Smyslem provádění PSA je určit všechny významné přispěvatele k riziku představova- nému hodnoceným JZ a ohodnotit, jak celkový projekt JZ splňuje předem stanovená bezpečnostní kritéria, viz též informace o existujících kritériích v kapitole 3.3.6 tohoto Návodu.

PSA musí popisovat a modelovat skutečný aktuální stav konkrétního JZ (tj. jedinečné nebo též specifické PSA), viz vyhláška č. 329/2017 Sb., o požadavcích na projekt jader- ného zařízení, § 25, odst. 3 [P9] a vyhláška č. 162/2017 Sb., o požadavcích na hodnoce- ní bezpečnosti podle atomového zákona, § 9 [P6].

Aktuálnost PSA musí být udržována v rámci programu „živé PSA“, jehož cílem je zahr- nutí aktuálního stavu zařízení (například změny v projektu JZ), aktuálního stavu vnitř- ních předpisů včetně havarijních provozních předpisů (EOP) a návodů pro zvládání těž- kých havárií (SAMG), a dalších informací používaných při konstrukci PSA modelu, ja- ko jsou například provozní zkušenosti, termo-hydraulické analýzy a další typy analýz, jakož i zahrnutí aktualizovaných spolehlivostních dat (jejich aktualizace je založena zejména na získání specifických provozních údajů z příslušného JZ či z JZ typově pří- buzných), viz vyhláška č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 9 [P6].

PSA obecně může mít tři úrovně, specificky pro JE: 1.úroveň – zahrnuje analýzu projektu JZ a jeho provozu, včetně předcházejí- cích fází životního cyklu, cílem je odhalit sled událostí, které mohou vést k po- škození jaderného paliva nebo systémů, konstrukcí nebo komponent obsahují- cích jiné RaL vyskytující se v tomto JZ; jedním z hlavních výsledků je stano- vení frekvence výskytu za rok, s níž může dojít k takovému poškození v dů- sledku sledu těchto událostí. 2.úroveň – navazuje na 1.úroveň; zahrnuje analýzu chronologického rozvoje následků poškození jaderného paliva a jiných systémů, konstrukcí nebo kom- ponent s obsahem RaL vyskytujících se v daném JZ, provádí kvantitativní hodnocení fenoménů z toho vyplývajících; v rámci 2.úrovně musí být odhale- ny způsoby, jimiž se uniklé radioaktivní látky mohou šířit do životního pro- středí. 3.úroveň - navazuje na 2.úroveň; obsahuje hodnocení následků úniků RaL mimo prostory JE a jejich vliv na obyvatelstvo a životní prostředí (dávkové zá- těže okolního obyvatelstva, rizika výskytu zdravotních následků, vliv různých typů ochranných opatření provedených v různých časech a pro různé úrovně zásahu, apod.).

PSA 1. úrovně bylo již provedeno na většině JE ve světě. V posledních letech se také značně rozšířil počet JE, kde se provádí PSA 2.úrovně. V požadavcích na nově projek- tovaná JZ se objevují požadavky na splnění kritérií akceptovatelnosti rizika používající veličinu LERF, kterou lze určit právě pouze pomocí 2.úrovně PSA. Naproti tomu PSA 3.úrovně bylo dosud vypracováno pouze pro několik JE.

V Návodu jsou zmíněny všechny tři úrovně PSA, nicméně podrobně se soustřeďuje zejména na 1.a 2.úroveň. Je tomu tak proto, že jejich provádění je v České republice legislativně požadováno, viz vyhláška č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 5, odst. 1 [P6].

Za úplnost PSA, jeho kvalitu a závěry nese odpovědnost držitel povolení k provozu da- ného JZ. Tento požadavek vychází ze zákona č. 263/2016 Sb., atomový zákon [P5], kde je uvedeno v § 5, odst. 4 následující: „Povinnost zajistit jadernou bezpečnost… nelze přenést na jinou osobu“.

PSA musí být zpracováno, dokumentováno a udržováno v souladu se systémem řízení držitele povolení, viz požadavky zákona č. 263/2016 Sb., atomový zákon [P5], § 29 a 30, podrobně viz vyhláška č. 408/2016 Sb., o požadavcích na systém řízení [P7].

V příslušné části dokumentace systému řízení musejí být zahrnuty aktivity, které jsou potřebné pro dosažení přiměřené kvality PSA a aktivity nutné k ověření tohoto faktu. Přiměřená kvalita PSA znamená, že výsledný produkt je použitelný, bez chyb a že spl- ňuje předem stanovené cíle (včetně rozsahu). Program systému řízení musí představovat systematický přístup ke všem aktivitám ovlivňujícím kvalitu PSA včetně verifikace to- ho, zda daná oblast PSA byla uspokojivě provedena a pokud by tomu tak nebylo, zda byla přijata nutná nápravná opatření. Legislativní požadavky na dokumentaci systému řízení jsou uvedeny ve vyhlášce č. 408/2016 Sb., o požadavcích na systém řízení, § 14 a 15 [P7],

Příslušná část dokumentace systému řízení musí představovat integrální část projektu PSA; dokument, ve kterém je zachycena tato problematika, musí být integrální součástí postupů používaných při tvorbě PSA. Postupy pro zajištění kvality musejí být vytvořeny pro všechny aktivity související s PSA, tj. pro organizaci projektu, dokumentaci i vlastní technickou práci, kde by měly zajistit soulad mezi cíli, rozsahem PSA, metodikou a její aplikací, použitými předpoklady a kvantifikací. Obecné požadavky na řízení dokumen- tace systému řízení jsou uvedeny ve vyhlášce č. 408/2016 Sb., o požadavcích na systém řízení [P7], dále viz též [G4].

PSA musí být provedeno a udržováno dle aktuálních a praktickou aplikací prověřených metodik v souladu se stávající úrovní vědy a techniky a správnou praxí, což je v souladu s vyhláškou č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 3, odst. 1 [P6].

Dle zákona č. 263/2016 Sb., atomový zákon, Příloha číslo 1, část 1. Činnosti související s využíváním jaderné energie, písm. b), c), d), f)[P5] je PSA součástí dokumentace pro povolovanou činnost. Dle Přílohy číslo 1 zákona č. 263/2016 Sb., písm. h), bod 4.[P5] platí též povinnost dodat SÚJB návrh aktualizace PSA v případě, že držitel povolení žá- dá o schválení provedení změny ovlivňující jadernou bezpečnost, a PSA je touto změ- nou ovlivněna.

OBECNÉ ZÁSADY PRO PROVÁDĚNÍ A POUŽÍVÁNÍ PSA

Tato kapitola rozebírá některé obecné aspekty provádění PSA a jeho následného využití v praxi, jako například rozsah PSA, jeho validace, projekt „živé PSA“, možnosti využití a slabá místa PSA, jakož i pravděpodobnostní bezpečnostní cíle. Jsou zde shrnuta někte- rá hlavní doporučení mající vztah k těmto aspektům a rovněž jsou zde uvedeny některé obecné informace potřebné pro porozumění dalšímu textu tohoto Návodu.

Rozsah PSA

Rozsah PSA požadovaný platnou legislativou je specifikován ve vyhlášce č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 5, odst. 1 a 2 [P6], kde je uvedeno: (1) Pravděpodobnostní hodnocení bezpečnosti musí zahrnovat a)1.úroveň pravděpodobnostního hodnocení bezpečnosti, v jejímž rámci musí být prováděna analýza projektu jaderného zařízení a jeho provozu, včetně předcháze- jících fází životního cyklu, tak, aby byl odhalen sled událostí, které mohou vést k poškození jaderného paliva nebo systému, konstrukce nebo komponenty obsahu- jící jiné radioaktivní látky vyskytující se v tomto zařízení a stanovena frekvence výskytu za rok, s níž může dojít k takovému poškození v důsledku sledu těchto událostí, a b)2.úroveň pravděpodobnostního hodnocení bezpečnosti, v jejímž rámci musí být prováděna analýza chronologického rozvoje následků poškození jaderného paliva a jiných systémů, konstrukcí nebo komponent s obsahem radioaktivních látek vy- skytujících se v jaderném zařízení, odhalených v rámci 1.úrovně pravděpodob- nostního hodnocení bezpečnosti, včetně kvantitativního hodnocení fenoménů z toho vyplývajících; v rámci 2.úrovně pravděpodobnostního hodnocení bezpeč- nosti musejí být odhaleny způsoby, jimiž se uniklé radioaktivní látky mohou šířit do životního prostředí. (2) Pravděpodobnostní hodnocení bezpečnosti musí zohlednit a)radioaktivní látky vyskytující se v jaderném zařízení, b)provozní režimy jaderného zařízení, včetně odstávek, a c)vnitřní a vnější iniciační události, včetně plošně působících vnitřních a vnějších iniciačních událostí.

Obecně platí, že rozsah PSA má být v korelaci s bezpečnostními cíli či kritérii, pokud nějaká byla stanovena. Bezpečnostní cíle či kritéria obvykle nespecifikují, která rizika a provozní režimy provozu JZ mají být uvažovány. Při využívání výsledků PSA pro veri- fikaci toho, že odpovídají stanoveným bezpečnostním cílům či kritériím, musí být v ČR používáno tzv. plnorozsahové PSA zahrnující kompletní seznam IU včetně plošně pů- sobících vnitřních iniciačních událostí (známých též pod pracovním názvem interní /vnitřní/ hazardy či interní /vnitřní/ rizika; v dalším textu Návodu se pro tuto skupinu událostí používá zkrácené označení vnitřní rizika) i reálně možných plošně působících vnějších iniciačních událostí (známých též pod pracovním názvem externí /vnější/ ha- zardy či externí /vnější/ rizika; v dalším textu Návodu se pro tuto skupinu událostí pou- žívá zkrácené označení vnější rizika) 1 a všechny provozní režimy JZ, kromě případů, kdy jsou bezpečnostní cíle či kritéria formulovány pro omezený rozsah PSA nebo jsou užity alternativní přístupy k prokázání toho, že riziko z nezahrnutých IU včetně výše zmíněných plošně působících IU, případně provozních režimů, které nejsou obsaženy v PSA modelu, neohrozí naplnění zmíněných bezpečnostních cílů či kritérií. Obecně je rovněž třeba zvážit vliv potenciálních úniků RaL z dalších zdrojů v areálu JZ, jako na- příklad z ozářeného paliva či uloženého radioaktivního odpadu.

Velkou předností PSA je, že poskytuje explicitní rámec pro analýzy neurčitostí při hod- nocení rizika. Jako nedílná součást PSA musí být provedena identifikace zdrojů neurči- tostí a je třeba též správně porozumět jejich vlivu na PSA model a jeho výsledky, viz vyhláška č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 8, odst. 1 [P6], neboť při použití výsledků PSA pro podporu rizikově infor- movaného rozhodovacího procesu je třeba vliv neurčitostí brát v úvahu.

Rozsah PSA, jak ve smyslu zahrnutí jednotlivých potenciálních rizik (tj. vnitřní IU, vnitřní i vnější rizika), tak ve smyslu zahrnutí jednotlivých provozních režimů i ve smyslu různých úrovní vrcholových událostí (tj. 1., 2., případně 3.úrovně PSA) závisí v konečném důsledku především na dalším předpokládaném využití PSA.

V našich podmínkách se provádějí aplikace PSA, které vyžadují zahrnutí všech provoz- ních režimů (PSA pro výkonové a nízkovýkonové stavy i odstávky), všech potenciálně možných (tj. těch, které nelze prakticky vyloučit) IU včetně vnitřních i vnějších rizik i možnost stanovení úniků radioaktivních látek mimo ochrannou obálku (PSA 2.úrovně). Rovněž je také třeba mít z hlediska rizika zmapovány ostatní zdroje radioaktivity, které se nacházejí v areálu příslušné JE, jako například vyhořelé palivo v bazénu skladování, vyhořelé palivo v meziskladu, či radioaktivní odpady (viz požadavek vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, §5, odst. 1 a 2 [P6]).

Obecně je třeba poznamenat, že pro některé aplikace je možno použít PSA s omezeným rozsahem. Vždy je však třeba tuto skutečnost uvést v příslušné dokumentaci a zdůvod- nit, že chybějící rozsah neovlivní vyhodnocení dané konkrétní aplikace. 1 V anglicky psaných odborných textech se používají pojmy internal hazards a external hazards. Přesnější překlad těchto pojmů do češtiny by byl potenciální vnitřní a vnější nebezpečí nebo též ohrožení. Jedná se o vlastnosti zařízení, území, jevu, apod., které mohou působit nepříznivě na zdraví lidí, životní prostředí a materi- ální hodnoty.

Validace a nezávislá kontrola PSA

Pro tvorbu vlastní PSA i pro provádění analýz, jejichž výsledky slouží jako vstupní in- formace pro PSA, se zpravidla využívá komerčně dostupné programové vybavení. Je třeba mít k dispozici certifikát, který potvrzuje, že daný software je dostatečně kvalitní a ověřený pro provádění daného typu analýz. Je třeba též prokázat, že použité analytické metody adekvátně reprezentují probíhající procesy. Rovněž je třeba prokázat, že pra- covníci organizace, která bude s daným programovým vybavením pracovat, jsou na do- statečné odborné úrovni, aby byli schopni příslušné analýzy provádět. To vše vychází z požadavku zákona č. 263/2016 Sb., atomový zákon, § 29, odst. 3, písm. a)[P5]; poža- davky na zvláštní procesy jsou pak dále rozpracovány ve vyhlášce č. 408/2016 Sb., o požadavcích na systém řízení, § 5 [P7]. Zmíněný certifikát v našich podmínkách před- stavuje pozitivní stanovisko SÚJB.

PSA musí být podrobeno nezávislému hodnocení, které má za cíl odhalit metodické i ji- né nedostatky; může též potvrdit případnou další využitelnost PSA pro provádění jed- notlivých aplikací, podrobněji viz k tomuto požadavek vyhlášky č. 162/2017 Sb., o po- žadavcích na hodnocení bezpečnosti podle atomového zákona, §8, odst. 3 [P6]. Takové hodnocení může poskytnout například IAEA v rámci svých TSR PSA misí (dříve IPSART). Rovněž je možno k němu využít jinou nezávislou odborně fundovanou tech- nickou organizaci, tj. organizaci, která se nepodílela na vzniku daného konkrétního PSA, ani není spojena ekonomickými či jinými vazbami s jeho dodavatelem či vlastní- kem. Vzhledem k velikosti českého trhu je vhodné volit k tomuto účelu organizaci ze zahraničí.

Program „živé PSA“

Během doby provozu JE se zpravidla provádí řada modifikací původního projektu, upravují se vnitřní předpisy včetně havarijních provozních předpisů a návodů pro zvlá- dání těžkých havárií, jakož i způsob testování a údržby zařízení. Všechny tyto změny mohou mít vliv na jadernou bezpečnost, radiační ochranu, technickou bezpečnost, moni- torování radiační situace, zvládání radiační mimořádné události a zabezpečení. Rovněž se během provozu nashromáždí specifická spolehlivostní data; může se jednat o frek- vence některých IU, pravděpodobnosti selhání jednotlivých zařízení, nepohotovosti za- řízení v důsledku provádění periodických testů či plánované i neplánované údržby. Bě- hem času dále dochází k nashromáždění nových technických informací, k vývoji sofisti- kovanějších analytických metod i nástrojů, které umožňují lepší či adekvátnější hodno- cení bezpečnostně významných jevů, které se mohou na JE vyskytnout; v důsledku toho se mohou změnit některé předpoklady či východiska, které byly uplatněny při tvorbě PSA modelu.

Všechny aspekty uvedené v předchozím odstavci musejí být průběžně zahrnovány do PSA; toto vylepšování a aktualizace PSA se nazývá v mezinárodní praxi „živé PSA“. PSA musí být udržováno aktuální během celého životního cyklu JE, aby bylo zajištěno, že bude poskytovat správné podklady, prakticky využitelné při integrovaném rizikově informovaném rozhodování. Pokud mají aplikace PSA sloužit jako podklad pro integro- vané rizikově informované rozhodování, musí být prováděny na základě PSA modelu, který věrně odráží realitu a současnou úroveň poznatků. Stav PSA musí být kontrolován v pravidelných, periodicky se opakujících intervalech, s cílem ověřit, že představuje re- prezentativní model JE a splňuje cíle, pro které bylo vytvořeno. Tyto požadavky jsou uvedeny ve vyhlášce č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 9, odst. 1, 2 a 3 a též se jich týká § 15, odst. 1, 2 a 3 [P6].

Pokud se objeví změny mající vliv na model PSA či jeho výsledky definované v poža- davcích vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle ato- mového zákona, § 9, odst. 1 [P6], musí být aktualizace PSA provedena nejpozději do jednoho roku. V ostatních případech se musí provést souhrnná revize PSA po pěti le- tech, viz požadavek vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 9, odst. 2 a 3 [P6]. V rámci periodického hodnocení bezpeč- nosti (PSR) pak musí být provedeno celkové zhodnocení PSA, viz požadavky vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona,

, odst. 1, 2, 3 a § 17, písm. f) [P6].

Využití PSA při integrovaném rizikově informovaném rozhodování

PSA a jeho aplikace musejí být prováděny během projektování i celého životního cyklu JE pro účely integrovaného rizikově informovaného rozhodování, podrobněji viz též kapitoly 3.4.8 a 3.5.7 tohoto Návodu. Výsledky PSA mohou být rovněž využívány pro informování veřejnosti o stavu jaderné bezpečnosti, radiační ochrany, monitorování ra- diační situace a zvládání radiační mimořádné události na daném JZ.

Legislativní požadavky na využívání (aplikace) PSA jsou uvedeny ve vyhlášce č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 7, písm. h)a § 10 a § 11 [P6].

PSA poskytuje užitečné nálezy a výsledky pro pracovníky JE (například řídící pracovní- ci, provozní personál i pracovníci koordinace údržby), dozorné (správní) orgány, projek- tanty a dodavatele, jako podklad pro rozhodování například o:

• změnách projektu či vnitřních předpisů JE,
• optimalizaci provozu či údržby zařízení JE,
• provedení bezpečnostních analýz a výzkumných prací,
• aktivitách dozorného (správního) orgánu.

Pro využívání PSA v integrovaném rizikově informovaném rozhodování je třeba stano- vit explicitní pravidla. Tato pravidla se liší v závislosti na konkrétním typu aplikace. Pokud budou jako argumenty při rozhodování používány numerické výsledky PSA, je třeba mít stanoveny referenční hodnoty, které budou představovat limity, jejichž překro- čení není z pohledu jaderné bezpečnosti, radiační ochrany, monitorování radiační situa- ce a zvládání radiační mimořádné události žádoucí, tj. kvantitativní kritéria přijatelnosti rizika.

PSA je možno využít například v následujících oblastech: i)vlastní PSA (výsledky PSA)

• stanovení frekvence poškození paliva (CDF nebo FDF),
• stanovení kategorií úniků RaL tříd úniků RaL a odpovídajících frekvencí
(například LERF),
• určení z pohledu rizika nejvýznamnějších havarijních sekvencí,
• určení dominantních přispěvatelů k riziku.
ii) aplikace PSA
• podpora rizikově informovaného rozhodovacího procesu v oblasti jaderné bezpeč-
nosti, radiační ochrany, monitorování radiační situace a zvládání radiační mimo- řádné události,
• vyhodnocení celkového rizika a prokázání vyrovnanosti profilu rizika (tj. že žádný
prvek projektu nebo skupina IU nevykazuje nepřiměřeně velký příspěvek k celko- vému k riziku a také že celkové riziko není nepřiměřeně závislé na přispěvatelích, které mají významné nejistoty),
• využití při projektování JE,
• odhalení slabých míst projektu u již provozované JE,
• určování priorit opatření sloužících ke zvyšování bezpečnosti JE,
• hodnocení změn (modifikací) projektu i vnitřních předpisů včetně havarijních pro-
vozních předpisů a návodů pro zvládání těžkých havárií,
• posuzování stávajících LaP a hodnocení dopadu jejich změn (trvalých i dočas-
ných),
• hodnocení provozních událostí,
• vývoj a validace havarijních provozních předpisů a návodů pro zvládání těžkých
havárií (EOP a SAMG),
• optimalizace údržby (při provozu na výkonu i při odstávkách),
• optimalizace testových intervalů,
• optimalizace provozních kontrol,
• zdokonalení výuky příslušných pracovníků JE (personál BD včetně tréninku na
simulátoru, trénink pracovníků údržby, apod.)
• podklad pro analýzu a hodnocení radiační mimořádné události a pro stanovení zó-
ny havarijního plánování,
• příprava plánu kontrol.

Omezení PSA

Každé PSA může mít v sobě obsaženy významné nejistoty v předpokladech, v kvantita- tivních parametrech, apod. viz kapitoly 3.4.3.10 a 3.5.4.4 tohoto Návodu. Při každé aplikaci PSA je třeba všechny tyto nejistoty pozorně zvážit a posoudit jejich vliv na zís- kané výsledky. Provedený rozbor nejistot je třeba podrobně zdokumentovat v předkládaných podkladech, které mají sloužit pro kvalifikované integrované rizikově informované rozhodování.

Pravděpodobnostní bezpečnostní cíle

Pokud je cílem PSA určit významné přispěvatele k riziku nebo zvolit mezi různými možnostmi projektu či konfiguracemi zařízení nebo způsobu provozování JE, není nut- no mít k dispozici žádné referenční hodnoty. Pokud je ovšem PSA použita jako podklad pro rozhodnutí, zda:

• vyčíslené riziko je akceptovatelné,
• navržená změna projektu či provozu JE je akceptovatelná,
• je nutno provést změnu s cílem snížit riziko,
je třeba specifikovat pravděpodobnostní referenční hodnoty jako určité měřítko pro pro- jektanty, provozovatele, dozorné (správní) orgány a další zúčastněné strany, které by pomohlo naplnit jejich roli při zajišťování požadované úrovně jaderné bezpečnosti na dané JE. V některých státech se tyto referenční hodnoty formulují jako orientační bez- pečnostní cíle, k jejichž dosažení se směřuje. V jiných státech se takové referenční hod- noty naopak formulují jako kritéria reprezentující nepřekročitelný limit. Numerické hodnoty zmiňovaných kritérií jsou v jednotlivých zemích odlišné.

Pokud jsou definovány pravděpodobnostní referenční hodnoty (bezpečnostní cíle či kri- téria), musejí s nimi být výsledky získané pomocí PSA porovnány, přičemž se musejí zohlednit též výsledky provedených citlivostních analýz a analýz nejistot, což umožní určení stupně jistoty splnění daných bezpečnostních cílů či kritérií a též pravděpodob- nosti, že budou případně překročena, viz požadavek uvedený ve vyhlášce č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 8, odst. 2 [P6]. Cílem je zde určit, zda byly bezpečnostní cíle či kritéria splněny, nebo zda je třeba implementovat dodatečné prostředky pro prevenci či zmírnění nežádoucích následků (například následků těžkých havárií).

Obecně je možno uvažovat o pravděpodobnostních cílech pro následující kategorie jevů:

• pravděpodobnost selhání bezpečnostního systému,
• pravděpodobnost selhání bezpečnostní funkce,
• frekvence poškození paliva v AZ (CDF) nebo obecněji, frekvence poškození pali-
va v JE (FDF) – tyto veličiny je možno získat pomocí PSA 1.úrovně,
• frekvence úniků radioaktivních látek mimo prostor ochranné obálky (obvykle se
uvádí veličina LERF) – tento typ údajů lze získat z PSA 2.úrovně,
• frekvence negativních důsledků na zdraví obyvatelstva nebo na životní prostředí –
pro získání těchto informací je třeba PSA 3.úrovně. Tento bezpečnostní cíl není v současnosti pro využití PSA v ČR povinný.

Pro pravděpodobnost selhání bezpečnostní funkce či bezpečnostního systému lze stano- vit pravděpodobnostní cíl na funkční či systémové úrovni. Postulovaná hodnota pravdě- podobnosti je užitečná pro kontrolu toho, že daná úroveň redundance a diverzity, obec- něji, že role systému nebo bezpečnostní funkce pro zajištění bezpečného provozu, je adekvátní. Uvedený pravděpodobnostní cíl může být specifikován i projektantem. Při hodnocení bezpečnosti je třeba zkontrolovat, zda je takovému kritériu vyhověno. Pokud tomu tak nebude, a bude se jednat o bezpečnostně významné zařízení, je třeba uvažovat o provedení přiměřeného opatření.

Typická číselná kritéria bezpečnosti v PSA 2. úrovně se týkají frekvencí velkých úniků (LRF) a frekvencí velkých časných úniků (LERF) RaL mimo prostor ochranné obálky. Velký únik znamená únik RaL z JE, který vyžaduje zavedení ochranných opatření dle požadavků zákona č. 263/2016 Sb., atomový zákon, § 104, odst. 1 [P5]. Takový únik je obecně možné specifikovat mnoha způsoby včetně následujících:

• jako absolutní množství (v becquerelech) nejvýznamnějších uvolněných radio-
nuklidů,
• jako podíl inventáře aktivní zóny,
• jako dávku na nejvíce exponovanou osobu mimo JE,
• jako únik vedoucí k „neakceptovatelným následkům“, přičemž tento pojem je de-
finován v příslušném legislativním dokumentu. Ve vyhlášce č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 2, písm. g)[P6] je velký časný únik definován jako únik více než 1 % počáteč- ního množství 137Cs, které se nachází v jaderném zařízení, do 10 hodin od vyhlášení ra- diační havárie.

Při stanovování pravděpodobnostních cílů je třeba důsledně rozlišovat mezi projektova- nou a již provozovanou JE. Pro projektovanou JE je možno po dodavateli projektu po- žadovat splnění pravděpodobnostních kritérií, která budou obecně přísnější než cíle pro již provozovaná zařízení.

V literatuře [G8] se požaduje splnění následujících kritérií pro CDF 1 x 10-4 / rok pro již provozovanou JE 1 x 10-5 / rok pro nově navrhovanou JE a pro LERF 1 x 10-5 / rok pro již provozovanou JE. V dokumentu [G8] není výslovně uvedeno, pro jaký rozsah PSA se tato kritéria uvažují, nicméně lze předpokládat, že se jedná o plně rozsahové PSA. Výše uváděné číselné údaje představují střední hodnoty uvedených měr rizika (CDF, LERF) získané výpočtem PSA modelu.

V dokumentu [G8] není uvedena číselná hodnota LERF pro nově budované JE; stano- vuje pouze následující kvalitativní cíl: prakticky eliminovat havarijní sekvence, které by mohly vést k velkým časným únikům radioaktivity, zatímco těžké havárie, které by mohly způsobit pozdní selhání kontejnmentu, je třeba v projektu uvažovat na základě realistického (best estimate) přístupu a za použití realistických předpokladů; jejich ná- sledky by měly vyžadovat zavedení ochranných opatření dle požadavků zákona č. 263/2016 Sb., atomový zákon, § 104, odst. 1 [P5] pouze prostorově i časově omeze- ných. 2 2 Dokument [G8] rovněž nezmiňuje žádné kritérium pro frekvence negativních důsledků na zdraví obyva- telstva či na životní prostředí. V některých zemích se tento typ následků hodnotí pomocí veličiny „riziko úmrtí obyvatele“, která se požaduje menší nebo rovna hodnotě 1 x 10-6 / reaktor rok.

PSA 1. ÚROVNĚ

Organizace projektu tvorby a udržování PSA 1. úrovně pro provoz bloku na výkonu

Vymezení cílů a rozsahu projektu

Tato kapitola obecně popisuje proces tvorby PSA 1. úrovně. V našich podmínkách mají všechny současně provozované JE PSA 1.úrovně již zpracováno. V případě výstavby nových bloků se předpokládá, že PSA bude dodáno v rámci kontraktu s dodavatelem JZ. V takovém případě bude třeba mít k dispozici skupinu kvalifikovaných pracovníků, kte- ří budou schopni již existující PSA převzít, revidovat, pravidelně ho aktualizovat a pou- žívat ho k provádění aplikací.

Řízení projektu

Řízení tvorby PSA 1. úrovně i jeho využívání pro aplikace obecně závisí na konkrétních podmínkách, zejména na legislativních požadavcích, na požadavcích SÚJB, na tom, kte- ré organizace se budou na těchto činnostech podílet (PSA může vytvářet a udržovat dr- žitel povolení, může si najmout externí organizaci apod.), jakož i na rozsahu PSA a na záměrech, které s PSA bude držitel povolení mít (využití pro konkrétní aplikace).

Pokud jsou výše uvedené výchozí podmínky určeny, je možno přistoupit k vytvoření ří- dící struktury projektu. Je třeba stanovit metodiku, požadavky na lidské zdroje, organi- zaci týmu, požadavky na příslušná školení, navrhnout časový harmonogram projektu, zvážit objem potřebných finančních prostředků a vytvořit program systému řízení. Musí být též stanoveno, jak bude zajištěno provedení nezávislého posouzení hotového PSA; tento požadavek vyplývá ze zákona č. 263/2016 Sb., atomový zákon, § 49, odst. 1, písm. f)[P5].

PSA je třeba vytvářet co nejdříve, nejlépe již ve fázi projektování JZ (PSA pro projek- tované JZ), aby bylo možno včas korigovat případná slabá místa projektu.

Během provozu JE musí pak být PSA (model i dokumentace) pravidelně aktualizováno a udržováno v souladu s nejnovějším vývojem v oboru (podrobněji viz kapitola 3.3.3 tohoto Návodu, kde jsou též uvedeny relevantní platné legislativní požadavky).

Vzhledem k tomu, že PSA se vytváří poměrně dlouhou dobu, je třeba si předem stanovit pevný termín, k němuž se bude vztahovat aktuální stav JE; změny projektu či vnitřních předpisů včetně havarijních provozních předpisů, které budou provedeny po tomto datu, je nutné zahrnout v rámci následující aktualizace PSA.

Dokumentace PSA musí být jasná, srozumitelná, systematická, zdroje informací a sou- vislosti snadno dohledatelné, aby podle ní bylo možno provádět pozdější úpravy, aktua- lizace, aplikace, jakož i nezávislé posouzení kvality.

Výběr metodických postupů, software

Metodika a vhodné pracovní postupy musejí být stanoveny před provedením PSA tak, aby během vlastních prací docházelo k minimálním metodickým změnám vynuceným objektivními důvody. Je třeba pokrýt všechny potřebné odbornosti, pečlivě naplánovat lidské kapacity a zvolit vhodné výpočtové prostředky - software, ve kterém se bude PSA vytvářet a kvantifikovat. Je třeba vytvořit podrobný časový harmonogram prací.

Pracovní tým

Členové pracovního týmu, který má zpracovat PSA, musejí mít dostatečně podrobnou znalost zařízení i provozu JE a musejí ovládat techniky používané při tvorbě PSA. Na tvorbě PSA se významnou měrou podílejí také zástupci provozovatele JE a případně i dodavatele technologie. V případě, že se jedná o tým, který PSA vytváří poprvé, musejí jeho členové projít odpovídajícím vyškolením.

Provozovatel JE musí mít k dispozici pracovní tým, ať už interní nebo externí, který za- jistí kontinuální rozvoj PSA (například dodaného v rámci kontraktu na výstavbu nového JZ), včetně jeho následné aktualizace, úprav a požadovaných aplikací.

Požadavky na dokumentaci

Požadavky na obsah dokumentace PSA jsou uvedeny ve vyhlášce č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 12 [P6].

Primárním cílem dokumentace PSA musí být naplnění požadavků jeho uživatelů, zejména při provádění jeho aplikací. Možní uživatelé PSA jsou následující: a)provozovatel JE (řídící i výkonní pracovníci), b)projektant a dodavatel zařízení JE, c)státní správní orgán (SÚJB) a organizace poskytující mu technickou podporu, d)jiné státní instituce, e)veřejnost.

Někteří z uvedených uživatelů využijí pouze Souhrnnou zprávu PSA, jiní budou potře- bovat všechnu dokumentaci PSA i model PSA.

Dokumentace PSA obsahuje pracovní složky, vstupní a výstupní výpočetní soubory, ko- respondenci, průběžné zprávy a závěrečnou zprávu. Dokumentace PSA musí být kom- pletní, dobře strukturovaná, jasná a snadno sledovatelná, kontrolovatelná a aktualizova- telná. Popis provádění analýzy ve finální dokumentaci má v maximální možné míře do- kumentovat provedené práce tak, jak byly skutečně postupně prováděny. Dále musí být v rámci dokumentace PSA stanoveny prostředky pro budoucí možné rozšíření analýz, včetně integrace nových témat, použití zdokonalených metod a modelů, rozšíření rozsa- hu PSA a jeho užití pro další aplikace. Pro uživatele je rovněž klíčová explicitní prezen- tace použitých předpokladů i omezení PSA.

V dokumentaci musejí být uvedeny všechny potřebné informace, které umožní zrekon- struovat proces získání výsledků PSA. Všechny analytické meziprodukty, výpočty, předpoklady atd., které nejsou publikovány ve zprávách majících externí využití, musejí být uchovány (jako například poznámky, pracovní listy, výsledky výpočtů).

Doporučuje se, aby výsledná dokumentace PSA byla rozdělena do několika dokumentů:

• Souhrnná zpráva,
• Hlavní zpráva,
• Přílohy k hlavní zprávě.

Souhrnná zpráva slouží jako základní materiál, který stručným a srozumitelným způso- bem podává všechny podstatné informace o PSA a jeho výsledcích i závěrech a rovněž slouží jako výchozí podklad pro provedení nezávislé kontroly PSA.

Souhrnná zpráva obsahuje popis hlavních cílů PSA, jeho rozsahu, hlavních výsledků a závěrů. Rovněž se zde uvedou nejdůležitější předpoklady použité při konstrukci PSA modelu a odhadu jeho parametrů. Ve zprávě se popíšou údaje, které jsou obsahem Hlavní zprávy a jejích Příloh, a to včetně uvedení odkazů s cílem umožnit snadnou ori- entaci v uvedených dokumentech.

Hlavní zpráva slouží jako zdroj podrobnějších informací pro zájemce o PSA a jeho vý- sledky, jako podkladový materiál pro potřeby aplikací PSA i pro potřeby aktualizace PSA. Rovněž lze očekávat její široké využívání při provádění nezávislé kontroly PSA.

Hlavní zpráva podává jasnou a přehlednou formou popis kompletního PSA, včetně po- pisu dané JE, cílů a rozsahu PSA, popisů použitých metod, popisu zajištění kvality, or- ganizace a řízení projektu, uvažovaných iniciačních událostí a PSA stavů, spolehlivost- ních údajů, uvažované odezvy bloku, napočtených výsledků a z nich vyplývajících zá- věrů.

Přílohy Hlavní zprávy obsahují podrobná data, záznamy inženýrských výpočtů, modely atd. Přílohy je vhodné strukturovat tak, aby to odpovídalo v maximální možné míře od- dílům a kapitolám Hlavní zprávy.

Výše uvedené představuje pouze obecné požadavky na dokumentaci PSA. Podrobnější požadavky na dokumentaci jednotlivých aspektů PSA jsou uvedeny v dalším textu, v rámci obsahu jednotlivých dílčích kapitol.

Seznámení se s JE

Tvůrci PSA i autoři jeho aplikací musejí být podrobně seznámeni s JE; musejí znát jak její zařízení, tak provozní náležitosti včetně problematiky výcviku, testování a údržby. Do této oblasti patří i podrobná znalost vnitřních předpisů a havarijních provozních předpisů (EOP).

Zdroje informací, jejichž znalost je potřebná pro vytvoření kvalitního a komplexního PSA i jeho aplikací, jsou následující:

• předběžná bezpečnostní zpráva, provozní bezpečnostní zpráva pro první fyzikální
spouštění jaderného zařízení s jaderným reaktorem, provozní bezpečnostní zpráva, bezpečnostní zpráva k vyřazování z provozu jaderného zařízení (dle fáze životního cyklu, v němž se PSA provádí),
• limity a podmínky provozu JE,
• vnitřní předpisy obsahující popisy systémů, které mohou mít vliv na jadernou bez-
pečnost, včetně popisu jejich provozu,
• operativní schémata,
• prováděcí projekt potrubních tras,
• výkresy elektrických zařízení,
• schémata zařízení SKŘ,
• dokumentace popisující vedení kabelových tras bezpečnostně významných zaříze-
ní,
• dispoziční schémata podlaží stavebních objektů,
• vnitřní předpisy pro zvládání abnormálních stavů,
• vnitřní havarijní předpisy (EOP),
• návody pro zvládání těžkých havárií (SAMG) – potřebné až pro PSA 2. úrovně,
zde uvedeny pouze pro úplnost,
• vnitřní předpisy popisující testování zařízení,
• vnitřní předpisy popisující údržbu zařízení,
• harmonogramy plánovaných odstávek JE,
• analýzy poskytující podklady pro popis předpokládaného chování JE po vzniku
uvažovaných IU a pro stanovení kritérií úspěchu systémů uplatňujících se v odezvě bloku na tyto IU,
• přehled provozních a radiačních mimořádných událostí, které na dané JE nastaly
během provozu (obvykle je ve formě databáze),
• přehled o poruchách zařízení, které se vyskytly během provozu dané JE (obvykle
je ve formě databáze),
• informace o výskytu provozních a radiačních mimořádných událostí a o poruchách
zařízení z jiných, typově shodných či blízkých JE,
• požadavky SÚJB vztahující se k bezpečnostně významnému zařízení,
• topografie areálu a území k umístění JE (ve smyslu vyhlášky č. 378/2016 Sb., o
umístění jaderného zařízení [P8]) potřebná pro hodnocení plošně působících vněj- ších IU,
• analýza a hodnocení radiační mimořádné události (viz vyhláška č. 359/2016 Sb., o
podrobnostech k zajištění zvládání radiační mimořádné události [P10]), pokud již byla pro danou nebo typově shodnou JE zpracována,
• další relevantní dokumentace.

Jako velmi efektivní zdroj informací se rovněž jeví přímá komunikace s pracovníky JE. Z důvodu zajištění kvality PSA i jeho aplikací se doporučuje nastavit dobrou úroveň komunikace mezi zpracovateli PSA a managementem JE, který určí potřebné pracovní- ky pro konzultační činnost, jakož i pro zajištění zpětné vazby po dokončení příslušných etap PSA či po provedení konkrétní aplikace PSA.

Za samozřejmost se rovněž považuje provádění obhlídek zařízení přímo na místě, neboť ty analytikům umožní poznat v reálu všechny skutečnosti, které mají analyzovat včetně verifikace poznatků získaných z dokumentace.

PSA 1. úrovně pro interní IU při provozu na výkonu

Úvod

Tato kapitola se zabývá požadavky na jednotlivé technické aspekty PSA 1. úrovně vy- tvářeného pro JE provozovanou na výkonu, přičemž se zabývá pouze vnitřními IU.

Metodika PSA 1. úrovně má umožňovat modelování všech havarijních sekvencí, které mohou vést k poškození paliva v aktivní zóně reaktoru, počínaje vznikem IU, stanove- ním všech kombinací selhání bezpečnostních systémů či lidského faktoru. Obvykle se k tomu využívá kombinace stromů událostí a stromů poruch, přičemž je možno vytvářet model pomocí tzv. „velkých stromů událostí a malých stromů poruch“ nebo „malých stromů událostí a velkých stromů poruch“, případně pouze pomocí stromů událostí nebo pouze pomocí stromů poruch. Nejčastěji se používá PSA model vycházející z „malých stromů událostí a velkých stromů poruch“. Zvolený přístup k modelování může být ovlivněn i programovým vybavením, které je použito pro konstrukci i výpočty PSA modelu.

PSA 1. úrovně musí být vytvářena zejména s využitím realistických (best estimate) mo- delů, předpokladů a dat. Pokud se objeví významné neurčitosti či nejistoty, je třeba se vždy přiklonit ke konzervativnímu řešení.

PSA model je třeba od počátku konstruovat s ohledem na budoucí využití při jeho apli- kacích.

Programové vybavení, které se využívá pro konstrukci a výpočty PSA modelu, musí umožňovat vytvoření dostatečně rozsáhlé logické struktury, která bude schopna zachytit rozvoj všech pravděpodobných havarijních sekvencí v celé jejich složitosti, provádět potřebné výpočty (kvantifikaci modelu) v rozumném časovém intervalu a poskytovat všechny očekávané výsledky (tj. výslednou hodnotu CDF, seznam dominantních MKŘ, seznam havarijních sekvencí s největším příspěvkem k riziku, hodnoty hlavních použí- vaných importančních měr pro zařízení JE, lidská selhání a poruchy se společnou příči- nou). Software rovněž musí umožňovat provedení analýzy neurčitostí a citlivostních analýz.

PSA zahrnuje následující prvky, které budou podrobněji rozebírány v následujícím textu (viz vyhláška č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomové- ho zákona, § 6, § 7, písm. a)– g)a § 8, odst. 1, [P6]):

• analýzu IU (jejich výběr a seskupení),
• analýzu havarijních sekvencí,
• analýzu systémů,
• analýzu závislostí,
• analýzu CCF,
• analýzu selhání lidského činitele,
• analýzu dat,
• kvantifikaci PSA modelu včetně výpočtu importančních měr,
• citlivostní studie, analýzu neurčitostí.

Analýza iniciačních událostí

Na počátku vytváření PSA je třeba vytvořit úplný seznam IU, které nejsou prakticky vy- loučeny, viz požadavek vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpeč- nosti podle atomového zákona, § 6, odst. 1, písm. d)[P6]), které mohou potenciálně vést k poškození paliva v aktivní zóně nebo v BS buď přímo (například roztržení TNR) nebo v případě, že dojde během odezvy bloku k selhání zařízení, které zajišťuje jednu nebo více bezpečnostních funkcí, či k selhání lidského faktoru. Při vytváření PSA 1.úrovně pro provoz bloku na výkonu se jedná pouze o takové IU, které mohou nastat během vý- konových režimů provozu JE.

Vytvoření seznamu IU je systematický proces, při němž se zpravidla využívá několika zdrojů informací a analytických postupů:

• generický seznam IU pro daný typ JE,
• IU analyzované v předběžné bezpečnostní zprávě, provozní bezpečnostní zprávě
pro první fyzikální spouštění jaderného zařízení s jaderným reaktorem, provozní bezpečnostní zprávě, bezpečnostní zprávě k vyřazování z provozu jaderného zaří- zení (dle fáze životního cyklu, v němž se PSA provádí),
• analýza informací o vyskytnuvších se IU na dané JE i na dalších JE založených na
stejném či podobném projektu,
• FMEA nebo HAZOP či jiná podobná analytická metoda,
• deduktivní analýza, pomocí níž je možno vysledovat selhání či zřetězení více se-
lhání, která mohou vést ke ztrátě zajištění bezpečnostní funkce.

Vzniklý seznam IU musí být dostatečně kompletní, přičemž musejí být zahrnuty jak události, které představují úplnou ztrátu funkce nějakého zařízení, tak i výpadek části tohoto zařízení (například úplná ztráta napájení PG, redukce dodávky napájecí vody do PG), protože i výpadky části zařízení mohou totiž představovat významného přispěvate- le k celkovému riziku. Rovněž je třeba vzít do úvahy všechny možné dovolené konfigu- race zařízení při provozu bloku na výkonu (například provoz bloku na výkonu s jedním odstaveným HCČ apod.).

V seznamu IU musejí být uvedeny všechny IU, které mají velmi nízkou frekvenci vý- skytu, nicméně se u nich dají očekávat velmi vážné následky (například ztráta integrity TNR). Tento aspekt je významný zejména z pohledu pozdějšího rozvoje PSA do 2., pří- padně i 3.úrovně.

Pokud se analyzovaný blok nachází v areálu s více bloky, případně se v daném areálu nebo v jeho těsném sousedství nachází jiné JZ, pro které musí být PSA zpracováno (viz zákon č. 263/2016 Sb., atomový zákon [P5], § 48, odst. 2, písm. b)), musejí být uvažo- vány i takové IU, jejichž vznik může současně ovlivnit i sousední bloky, případně sou- sední JZ, například LOSP. Rovněž musejí být zahrnuty IU, které mohou ohrozit jader- nou bezpečnost na sousedním bloku/JZ.

Při vytváření seznamu IU se musí přihlížet k IU, které byly zahrnuty v PSA pro stejný či podobný typ JE. Při výskytu rozdílů je třeba zvážit, zda zahrnout další IU či zdůvodnit, proč naopak některá IU není uvažována.

Nutným krokem, který je třeba provést při vytváření seznamu IU, je rovněž analýza in- formací o IU, které se vyskytly nebo mohly vyskytnout na dané JE (pokud se jedná o již provozovanou JE), případně na JE typově příbuzných. Tento postup má za cíl zajistit, že nedojde k opomenutí žádné IU, která již skutečně nebo téměř nastala.

V podrobnější fázi analýzy se rovněž musejí určit jednotlivé příčiny, které mohou způ- sobit vznik dané IU. Pro IU, které mohou být vyvolány více příčinami nebo kde je třeba pro jejich vznik více příčin najednou, se obvykle k modelování IU jako celku a odhadu její frekvence využívá strom poruch. Transienty

PSA musí obsahovat všechny transienty, které mohou na daném typu JE nastat. Ob- vykle se jedná o následující typy událostí:

• zvýšený odvod tepla z reaktoru (například roztržení parovodů, nežádoucí otevření
pojistných armatur na parovodech),
• snížený odvod tepla z reaktoru (například prasknutí potrubních tras napájecí vody,
ztráta dodávky napájecí vody do PG),
• omezení průtoku primárního chladiva (například výpadek HCČ),
• nežádoucí změny reaktivity (například neřízené vysouvání řídící tyče, vystřelení
řídící tyče, neřízené snižování koncentrace kyseliny borité v chladivu primárního okruhu),
• zvyšování objemu chladiva v primárním okruhu (například falešný start čerpadel
systému havarijního chlazení AZ),
• veškeré provozní události, které mohou způsobit havarijní, respektive rychlé od-
stavení reaktoru,
• ztráta napájení z vnější sítě (přestože se nejedná o typickou „vnitřní“ událost),
• ztráta podpůrných systémů (elektrické napájení, chladící voda, SKŘ, chlazení
místností, tlakový vzduch apod.). Úniky chladiva z primárního okruhu

PSA 1. úrovně pro provoz bloku na výkonu musí obsahovat kompletní sestavu všech IU, které mohou vést ke ztrátě chladiva z I.O. (události typu LOCA). Tento typ událostí se rozděluje podle velikosti úniku a podle místa, kde k úniku dochází. Je třeba identifi- kovat události, které mohou vést k úniku chladiva z I.O. mimo ochrannou obálku (SGTR, SGCB, LOCA do technologických systémů); tyto události mohou být z hlediska celkového rizika značně významné, neboť při nich dochází k nevratné ztrátě primárního chladiva. Seskupování IU

Vzhledem k velkému množství potenciálně možných IU a vzhledem k tomu, že po řadě z nich následuje víceméně shodná odezva bloku, se před vlastní analýzou havarijních sekvencí sdružují IU do skupin reprezentujících daný typ IU. IU zahrnuté do příslušné skupiny musejí mít stejné nebo velice podobné následující atributy:

• rozvoj havarijních podmínek po vzniku IU,
• kritéria úspěchu systémů uvažovaných v odezvě bloku,
• vliv na zařízení uvažované v odezvě bloku na danou IU,
• předpokládanou odezvu provozního personálu,
• přiřazení stavů poškození bloku koncovým stavům havarijních sekvencí.

Kritéria úspěchu na činnost zařízení a obsluhy JE použitá pro danou skupinu IU musejí být konzervativní, tj. musí se použít kritéria úspěchu odpovídající té události ze skupiny, která nejvážněji ohrožuje jadernou bezpečnost. Při seskupování IU je ale také třeba dbát na to, aby se do PSA nevnášel příliš konzervativní přístup.

Vzhledem k tomu, že je zpravidla třeba omezit PSA model na zvládnutelnou velikost, jsou některé skupiny IU s předpokládaným malým rizikovým potenciálem vylučovány z dalších analýz, tj. nejsou dále rozvíjeny a kvantifikovány v PSA modelu; k tomuto účelu se stanovují kvantitativní kritéria pro jejich vyloučení, která musejí být konzis- tentní s cíli prováděného PSA tak, aby žádný významný přispěvatel k riziku nebyl při jejich použití vyloučen. Pokud však nejsou některé skupiny IU zahrnuty do PSA modelu na základě použití takového kritéria, může později nastat při provádění některé z aplika- cí PSA situace, že vyloučení IU bude třeba přehodnotit a událost zařadit zpět do modelu PSA.

Výběr IU i jejich seskupování, jakož i proces vylučování skupin IU z dalších analýz na základě aplikovaného kvantitativního kritéria musí být v PSA pečlivě zdokumentován, včetně odkazovaných zdrojů informací (podpůrných analýz apod.).

Analýza havarijních sekvencí

Dalším krokem analýzy je stanovení odezvy bloku na každou vybranou skupinu IU. V odezvě bloku se zkoumá zajištění relevantních bezpečnostních funkcí pomocí přísluš- ného zařízení (SKK) a obsluhy JE. Bezpečnostní funkce, které je třeba zajistit, obecně závisejí na typu reaktoru.

Odezva bloku na IU se modeluje pomocí rozvoje jednotlivých havarijních sekvencí, při- čemž se vždy uvažuje jednak úspěšné zapracování daného zařízení, jednak jeho možné selhání. Koncové stavy havarijních sekvencí pak reprezentují buď uvedení bloku do bezpečného (stabilního) stavu reprezentujícího úspěšné dlouhodobé zajištění všech rele- vantních bezpečnostních funkcí, nebo poškození paliva v AZ (CD). Poškození paliva v AZ

Pro takto obecně pojmenovaný jev je třeba stanovit exaktní kritérium. Toto kritérium se pro tlakovodní reaktory obvykle definuje pomocí teploty povlaku paliva. Bezpečnostní funkce, bezpečnostní systémy a kritéria úspěchu

Analýza havarijních sekvencí musí být provedena pro všechny skupiny IU definované v předchozím kroku analýzy, viz vyhláška č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 6, odst. 1, písm. f), g), h)[P6]). Pro každou skupinu IU musejí být stanoveny bezpečnostní funkce, které je třeba splnit pro úspěšné zvládnutí havarijních podmínek, tj. pro zabránění poškození paliva v AZ.

Typické bezpečnostní funkce pro tlakovodní reaktory jsou následující:

• odstavení reaktoru a udržení podkritičnosti,
• odvod tepla z AZ,
• udržení integrity primárního okruhu,
• udržení integrity kontejnmentu.

Ke každé bezpečnostní funkci je třeba přiřadit zařízení JE (především bezpečnostní sys- témy, ale v některých případech je možno uvažovat i systémy provozní), které ji může zajišťovat a rovněž kritéria úspěšnosti tohoto zařízení při jejím zajišťování po vzniku konkrétní IU.

Při definování kritérií úspěchu je třeba rovněž identifikovat zařízení (systémy či jejich části), které bude vyřazeno v důsledku vzniku dané IU, protože tato skutečnost může významně příslušná kritéria úspěchu ovlivnit. Příkladem takové situace je vznik LOCA na smyčce, do níž je zaústěno potrubí jedné linie systému havarijního chlazení AZ nebo vytvoření takového prostředí v místě umístění zařízení, které neodpovídá projektovým požadavkům na příslušné zařízení – například zaplavení, zapáření, velký nárůst či nao- pak výrazný pokles teploty, apod. Rovněž sem spadá vyřazení podpůrných systémů v důsledku vzniku IU, jako například elektrického napájení, chlazení, apod.

V kritériích úspěchu musí být rovněž specifikována a zdůvodněna doba, po kterou se požaduje provoz uvažovaného zařízení, viz požadavek vyhlášky č. 162/2017 Sb., o po- žadavcích na hodnocení bezpečnosti podle atomového zákona, § 6, odst. 1, písm. b) [P6]). Jedná se o dobu, po kterou je třeba provozovat dané zařízení, aby bylo dosaženo bezpečného, stabilizovaného odstavného stavu bloku a vytvořeny podmínky pro udržení tohoto stavu. Pro většinu IU se předpokládá trvání této doby 24 hodin, v některých pří- padech zařízení podílejícího se svou funkcí na zvládání havárie pouze během části hava- rijního scénáře to může být méně, v jiných případech i podstatně déle podle charakteru příslušné IU a odezvy JE na ni.

V kritériích úspěchu musejí být stanovena nejen kritéria pro systémy zajišťující přímo plnění požadovaných bezpečnostních funkcí, ale i pro systémy podpůrné, které jsou po- třebné pro jejich provoz.

V kritériích úspěchu musejí být rovněž zohledněny zásahy provozního personálu po- třebné pro dosažení bezpečného, stabilizovaného odstavného stavu bloku. Pro tuto část tvorby modelu PSA je nutná spolupráce mezi provozním personálem, systémovými ana- lytiky a odborníkem, který v rámci PSA provádí analýzu selhání lidského faktoru.

V dokumentaci PSA musí být uveden přehlednou formou vztah mezi konkrétní IU, re- levantními bezpečnostními funkcemi, bezpečnostními, případně provozními systémy, které je mohou zajišťovat, podpůrnými systémy, které jsou třeba k provozu prvosledo- vých systémů a akcemi provozního personálu, které jsou potřebné pro uvedení bloku do bezpečného, stabilního stavu. Analýzy umožňující stanovení kritérií úspěchu

Při stanovování kritérií úspěchu bezpečnostních, případně provozních systémů i pod- půrných systémů uvažovaných v odezvě bloku na jednotlivé IU je třeba se opírat o do- stupné analýzy – termo-hydraulické, neutronové, materiálové apod. Tato kritéria musejí být pokud možno realistická, tj. neměla by být příliš konzervativní. Pokud v některém případě není možno použít realistická kritéria, například z důvodu neexistence příslušné analýzy, je třeba na použití konzervativních kritérií upozornit v příslušné části doku- mentace PSA, a je třeba rovněž pečlivě zhodnotit, jaký vliv mají takto pojatá kritéria na odvozené riziko a obecně na všechny hlavní výsledky PSA (zda významně ovlivňují získanou hodnotu CDF, hodnoty importančních měr apod.).

Programové vybavení používané pro provádění těchto analýz musí být verifikováno a validováno a organizace, která je používá k výpočtům, musí prokázat dostatečnou kvali- fikaci, viz odst. (3.28) – v podmínkách provozu JE v ČR musí mít již jednou výše zmí- něné pozitivní stanovisko SÚJB k jeho použití. Modelování havarijních sekvencí

Musejí být identifikovány všechny havarijní sekvence, které mohou nastat po vzniku každé uvažované skupiny IU. Úspěšné zapracování i selhání bezpečnostních, případně i provozních systémů, podpůrných systémů i lidských zásahů, které mohou zajišťovat jednotlivé uvažované bezpečnostní funkce, se modeluje ve stromech událostí. Detailnost rozvoje stromu událostí je přímo spojená s detailností navazujících částí PSA modelu - jednodušší a přehlednější stromy událostí implikují složitější navazující stromy poruch.

Analýza stromem událostí musí pro každou skupinu IU pokrýt všechny bezpečnostní funkce, které je třeba po vzniku IU zajistit a zařízení (systémy) využité pro jejich zajiš- tění, včetně odpovídajících kritérií úspěchu. Záhlaví stromů událostí obvykle reprezen- tuje prvosledové bezpečnostní, případně provozní systémy, jejichž zafungování se oče- kává během rozvoje IU, dále situace, které odezvu bloku nějakým způsobem komplikují (například zaseknutí pojistného ventilu kompenzátoru objemu v otevřené poloze, apod.) a důležité akce obsluhy.

Struktura stromu událostí musí zohledňovat všechny závislosti, které mohou vzniknout v rozvoji havarijních sekvencí. Nejpřirozenější je strom událostí konstruovat chronolo- gicky tak, jak budou postupně kladeny požadavky na uvažovaná zařízení či lidské akce. Musejí být zjištěny a modelovány všechny závislosti, které mohou nastat v důsledku se- lhání zařízení či následkem lidských chyb, a to jak závislosti v rámci jednotlivých sys- témů, reprezentované poruchami se společnou příčinou, tak i závislosti (interakce) mezi různými systémy.

Analýza havarijních sekvencí odhaluje všechny možné kombinace úspěšného zafungo- vání i selhání bezpečnostních či uvažovaných provozních systémů i lidského faktoru ve vztahu k dané skupině IU. Má identifikovat všechny sekvence vedoucí k úspěchu (tj. k dosažení bezpečného, stabilního stavu bloku), jakož i všechny sekvence, které vedou k poškození paliva v AZ v důsledku nezajištění některé z potřebných bezpečnostních funkcí. Koncové stavy havarijních sekvencí, stavy poškození AZ

Při analýze havarijních sekvencí se identifikují sekvence, v nichž budou zajištěny všechny požadované bezpečnostní funkce (a tedy nedojde k poškození paliva v AZ) i sekvence, kde některá z bezpečnostních funkcí zajištěna nebude (a tedy nastane poško- zení paliva). Toto rozdělení koncových stavů sekvencí je postačující pro 1.úroveň PSA. Jelikož se však v současné době již standardně požaduje provedení dalších analýz, které hodnotí úniky radioaktivních látek z ochranné obálky, tj. vytvoření PSA 2.úrovně, je třeba seskupit sekvence, které vedou k poškození paliva, do stavů poškození JE (PDS), které vytvářejí interface mezi PSA 1.úrovně a PSA 2.úrovně. Z hlediska efektivnosti prováděných analýz je vhodné to provést rovněž v rámci PSA 1.úrovně. Tato část práce musí být prováděna ve spolupráci s analytiky, kteří budou vytvářet PSA 2.úrovně. V této souvislosti je ovšem třeba uvést, že v současné době již existují moderní analy- tické nástroje nabízející možnost modelování rozvoje havarijních sekvencí až do jednot- livých kategorií úniků RaL. Pokud má zpracovatel PSA k dispozici takový nástroj, pak není nutno provádět seskupení koncových stavů havarijních sekvencí do PDS. Poznámka: Tato problematika je rovněž podrobněji zmiňována v jiné části tohoto Ná- vodu, která se zabývá problematikou PSA 2.úrovně, jelikož to je možno též provádět až v jeho rámci (viz kapitola 3.5).

Charakteristiky PDS obvykle zahrnují následující atributy (zde jsou uvedeny pouze atri- buty pro provoz bloku na výkonu; analogické informace pro nízkovýkonové stavy a od- stávky jsou uvedeny v odstavci (3.471):

• typ IU, která nastala (neporušený I.O. nebo LOCA),
• zařízení JE (systémy), které selhalo, následkem čehož došlo k poškození paliva
v AZ,
• výše tlaku v I.O. (vysoký, nízký) v okamžiku poškození paliva v AZ,
• doba, v níž nastalo poškození paliva v AZ (brzo nebo pozdě - ve vztahu
k okamžiku odstavení reaktoru),
• integrita ochranné obálky (neporušená, selhala, selhalo zařízení zajišťující izolaci
obálky, obtok obálky – SGTR nebo interfacing LOCA),
• dostupnost zařízení sloužícího k ochraně ochranné obálky (sprchový systém, sys-
témy odvodu tepla z kontejnmentu, rekombinátory vodíku),
• dostupnost elektrického napájení, střídavého i stejnosměrného, včetně doby po-
třebné pro jeho zajištění pomocí nápravných akcí,
• akce, o které se pokoušel provozní personál, a které selhaly.

Havarijní sekvence vedoucí k poškození paliva v AZ je charakterizována fyzikálním stavem, do něhož se blok dostane na jejím konci, jakož i potenciální dostupností systé- mů, které by mohly omezit únik radioaktivních látek nebo mu úplně zabránit.

Dokumentace PSA 1. úrovně pro provoz bloku na výkonu musí obsahovat popisy se- strojených stromů událostí, viz požadavky vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 12 [P6]. V dokumentaci musí být popsány havarijní sekvence v uvedených stromech událostí, popis logiky sestrojených stromů událostí, vysvětlen význam jednotlivých vrcholových hradel, zejména pak hra- del, která skrývají komplexnější soubor zařízení či lidských akcí. Pokud byly přijaty při konstrukci stromů událostí nějaké zjednodušující předpoklady, musí být v dokumentaci podrobně vysvětlen jejich vliv na PSA model. V dokumentaci rovněž musejí být popsá- ny jednotlivé PDS včetně toho, jakým způsobem byly vymezeny.

Analýza systémů

Dalším krokem PSA je modelování selhání zařízení (zpravidla systémů), která jsou uva- žována v rozvoji havarijních sekvencí, viz vyhláška č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 6, odst. 1, písm. j), k)[P6]). Obvykle jde o deduktivní rozvoj selhání stromem poruch, jehož vrcholovým hradlem je událost definovaná v záhlaví stromů událostí. Stromy poruch se dále rozvíjejí pomocí logických hradel až do úrovně primárních událostí, které reprezentují selhání elementárních kom- ponent (tj. čerpadel, armatur, rozvaděčů atd.), nepohotovost komponent z důvodu pro- vádění plánované či neplánované údržby nebo testů, poruchy se společnou příčinou u redundantních komponent, selhání provozního personálu a někdy také makrokomponen- ty zastupující větší celky, které nebylo možné či vhodné podrobněji modelovat. Stromy poruch

Stromy poruch představují grafický logický model reprezentující deduktivní rozvoj se- lhání bezpečnostně významných zařízení, které je uvažováno ve vrcholových hradlech stromů událostí.

Kritéria selhání definovaná ve vrcholových událostech stromů poruch jsou logicky in- verzní ke kritériím úspěchu uvažovaným při rozvoji havarijních sekvencí. V některých případech je třeba vytvořit více stromů poruch pro jeden bezpečnostně významný sys- tém, aby bylo možno uvažovat různá kritéria úspěchu, která mohou být požadována v rámci modelování různých skupin IU nebo pro různé větve jednoho stromu událostí v závislosti na rozvoji havarijních podmínek. Alternativou je složitější strom poruch s přepínači, jimiž lze připojovat část modelu s požadovanými kritérii úspěchu. Tyto pře- pínače představují speciální prvky logického modelu, které mohou nabývat hodnotu „logická nula“ nebo „logická jedna“, a umožňují připojovat a odpojovat jednotlivé části PSA modelu.

Primární události uvažované v PSA modelu musejí být co nejvíce kompatibilní s do- stupnými daty využívanými k odvození pravděpodobnosti selhání komponent. Je třeba, aby hranice aktivních i pasivních komponent a uvažované způsoby selhání těchto kom- ponent (poruchové módy) odpovídaly těm, které jsou definovány ve využívané databázi spolehlivostních parametrů.

Stromy poruch musejí být rozvinuty do úrovně primárních událostí, které reprezentují relevantní způsoby poruch příslušných komponent (čerpadel, armatur, atd.) i selhání pří- slušných akcí obsluhy. Stromy poruch musejí obsahovat všechny primární události, kte- ré mohou vést buď přímo, nebo v kombinaci s dalšími primárními událostmi k modelované vrcholové události. Zvolená detailnost analýzy stromem poruch je plně v kompetenci analytika, ale musí být v souladu s dostupnými spolehlivostními daty i s předpokládanými aplikacemi PSA.

Primární události uvažované ve stromu poruch musejí být získány pomocí systematické deduktivní analýzy – například pomocí FMEA, aby bylo možno odhalit všechny důleži- té způsoby selhání systému a jeho komponent i všechny akce provozního personálu (jak ty, které mohou způsobit nefunkčnost příslušného zařízení, tak ty, jejichž selhání způso- bí, že dané zařízení nebude uvedeno do žádoucího stavu), které mohou způsobit vrcho- lovou událost příslušného stromu poruch.

Ve stromu poruch musejí být obsaženy všechny komponenty bezpečnostně významného systému, jejichž provoz či změna polohy se během odezvy na IU požaduje; stejně tak je tam třeba zahrnout i všechny příslušné komponenty podpůrných systémů, včetně pasiv- ních komponent, jejichž selhání může vést k selhání celého systému, jako například fil- try (ucpání filtru) apod. Strom poruch musí rovněž explicitně modelovat funkční závis- losti i závislosti mezi selháním komponent a jeho detailnost musí být taková, aby všechny takové závislosti mohly být modelovány. Například pokud stejný chladicí sys- tém má dodávat chladící médium k více zařízením uvažovaným v modelu, musí se tento systém explicitně modelovat ve všech stromech poruch reprezentujících selhání funkce těchto zařízení.

V případě, že je použita pro modelování skupiny komponent makrokomponenta, je třeba ověřit, že poruchový mód každé ze zahrnutých komponent má stejný vliv na modelova- ný systém, jako přiřazený poruchový mód makrokomponenty. Všechny makrokompo- nenty použité v modelu PSA musejí být funkčně nezávislé, tj. nesmí obsahovat kompo- nenty, které jsou obsaženy v jiné makrokomponentě nebo jsou v jiné části modelu uve- deny samostatně.

Ve stromech poruch je třeba zohlednit možnost, že některé části zařízení, případně i celé linie systémů, mohou být nepohotové z důvodu testování nebo provádění plánované či neplánované údržby. Všechny takové případy je třeba identifikovat a explicitně mode- lovat pomocí primárních událostí. Modelování nepohotovosti zařízení v důsledku údrž- by musí odrážet aktuální stav Limit a podmínek provozu i konkrétní praxi údržby na JE (neuvažují se konfigurace nad rámec LaP, například neprovozuschopnost tří divizí sys- tému havarijního chlazení AZ při provozu bloku na nominálním výkonu).

Je třeba vytvořit systém pro jednoznačné označování primárních událostí i hradel ve stromech poruch (nomenklaturu), který se bude dlouhodobě konzistentně používat v celém PSA modelu. Název každé primární události dle zavedené nomenklatury by měl v sobě kondenzovat základní informaci o modelované komponentě a jejím poruchovém módu.

Pokud se předpokládá jeho využití v monitoru rizika, PSA model musí být „symetrický“ v tom smyslu, že se v něm musejí modelovat všechny uvažované IU ve všech místech, kde mohou nastat, jednotlivé smyčky I.O., všechny linie bezpečnostních či provozních systémů uvažovaných v odezvě na zahrnuté IU, jakož i stav normálně provozovaných zařízení, tj. konkrétní zařízení navolené jako pracující, v rezervě atd., aby byla vytvoře- na možnost následného výběru konkrétní provozní konfigurace JE. Potřebné informace pro modelování systémů

Před vlastním modelováním zařízení (systémů) je vhodné shrnout základní informace o jeho designu a provozu potřebné pro modelování do popisu obsahujícího:

• funkce systému,
• poruchové módy systému,
• hranice systému,
• vztah systému k ostatním systémům (závislosti),
• způsob provozu systému,
• seznam komponent systému, které musejí být v provozu při provozu systému, ne-
bo které musejí změnit polohu pro zajištění funkce systému, s uvedením jejich možných stavů,
• způsob uvedení komponent systému do provozu (ručně či automaticky),
• podmínky, které musejí být splněny pro to, aby došlo k automatickému spuštění či
změně stavu komponent systému.

Vhodnou součástí informace o modelovaném systému je schéma obsahující všechny modelované komponenty se zdůrazněním stavu, ve kterém se běžně nacházejí (napří- klad armatura otevřena – uzavřena, atd.), potrubní či kabelové trasy systému uvažované v modelu a rovněž závislosti na podpůrných systémech (el. napájení, chlazení, apod.).

Popis systému s příslušným obrázkem dle (3.125) a (3.126) musí poskytovat dostatečný základ pro sestrojení stromu poruch a musí být dostatečně kompletním zdrojem infor- mace pro případnou revizi stromu poruch nezávislým odborníkem (členem nezávislého hodnotícího týmu, inspektorem SÚJB apod.). Pasivní systémy

Současným trendem je zajišťování stále většího rozsahu naplnění bezpečnostních funkcí pomocí pasivních systémů, které mají obecně vyšší spolehlivost než systémy aktivní, neboť nepotřebují podpůrné systémy (jako například chlazení, dodávku elektrického proudu, apod.) pro zajištění svého úspěšného fungování po vzniku havarijních podmí- nek. Jedná se zejména o systémy zajišťující havarijní chlazení AZ a odvod zbytkového tepla.

Okrajové podmínky pro provoz pasivních systémů musejí být, podobně jako u systémů aktivních, stanoveny pomocí termo-hydraulických analýz a také pomocí experimentů a testů. Okrajové podmínky závisejí na provozních parametrech bloku, jako například tep- lotě, tlaku, objemu chladiva, apod. Pokud příslušné okrajové podmínky nenastanou, nel- ze předpokládat zapracování příslušného pasivního systému.

V PSA je třeba modelovat pravděpodobnost selhání pasivních systémů, protože mají pl- nohodnotný vliv na riziko provozu JE. Model pasivního systému musí analyzovat mož- nost selhání dosažení okrajových podmínek pro provoz daného systému, selhání kom- ponent systému (jako například zpětná klapka či odlehčovací ventil neotevře, ucpání po- trubní trasy apod.) a selhání lidského faktoru, pokud bude akce obsluhy požadována pro úspěšné zapracování systému. Model rovněž musí zohlednit nejistoty obsažené v podpůrných analýzách. To vše lze a je nutné provést pomocí standardních technik po- užívaných při konstrukci stromů poruch. Systémy založené na počítačové technologii

Tento typ systémů se stále více prosazuje v řídících a ochranných systémech JE a stává se součástí a výzvou modelování v PSA. Selhání software často představuje dominantního přispěvatele k pravděpodobnosti selhání těchto systémů a odhad pravděpodobnosti selhání software se provádí pouze na základě toho, jak je zajištěna kvalita při jeho vytváření. Přitom se zkoumá, zda u autorské firmy existuje postup pro minimalizaci pravděpodobnosti vzniku chyb při vytváření software, zda existuje adekvátní kontrola umožňující detekci chyb v programu, a zda je finální produkt adekvátně testován.------------------------------------------------------------------------------- Poznámka 1: V USA jsou už publikovány hodnoty (best practice) pro pravděpodobnost selhání software, které používají v PSA. …………………………………………………… Poznámka 2: V tomto kontextu se pod pojmem „pravděpodobnost selhání software“ rozumí pravděpodobnost toho, že po vzniku IU přijdou správné vstupní signály (tj. parametry vstupních veličin) na vstup do počítačového systému, avšak nedojde k vygenerování správných výstupních signálů v důsledku selhání software v systému obsaženého.

Odhad spolehlivosti software musí brát v úvahu všechny relevantní faktory týkající se jeho navrhování, vlastního vytváření i testování.

Pokud bude řídící a ochranný systém, nebo obecně dva diverzní systémy zajišťující stejnou bezpečnostní funkci, založeny na počítačové technologii, je třeba podrobně zkoumat, zda mezi nimi neexistují hardwarové závislosti nebo závislosti v programo- vém vybavení a zohlednit výsledky analýzy při modelování a kvantifikaci systému.

Analýza závislostí

Požadavky na zahrnutí různých typů závislostí jsou uvedeny ve vyhlášce č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 6, odst. 1, písm. l), m)a odst. 2 [P6]).

Zpracování problematiky závislostí v logické struktuře modelu PSA 1. úrovně je třeba věnovat zvláštní pozornost. Závislé poruchy často představují jedny z hlavních přispě- vatelů k celkovému riziku provozu bloku.

Existuje pět typů závislostí s vlivem na riziko provozu JE:

• funkční závislosti v důsledku sdílení některých komponent, společných spouště-
cích systémů, společných zařízení zajišťujících izolaci nebo společných podpůr- ných systémů (napájení, chlazení, SKŘ, ventilace atd.),
• závislosti mezi různými JZ, které se nacházejí ve stejném areálu, nebo obecněji, ve
stejném území k umístění,---------------------------------------------------------------- Poznámka: Radiační havárie v JE Fukušima zdůraznila význam efektů, které ply- nou z propojení mezi jednotlivými bloky dané JE, které je třeba též zahrnout do PSA. Existuje několik hlavních problémů, které je třeba v tomto kontextu řešit. Jedním z nich je vzájemná interakce mezi jednotlivými bloky v důsledku existují- cích propojení mezi nimi (například JE obsahující více bloků, které mohou mít sdí- lená zařízení). Dalším je společný zdrojový člen vzniklý v důsledku poškození pa- liva v AZ či obecněji na bloku (například též v BS) a poškození kontejnmentů na více blocích současně. Radiační následky v takovém případě totiž mohou být mnohem závažnější a mohou rovněž ovlivnit strategii zvládání těžké havárie na dalších blocích v případě, že selže funkce kontejnmentu na jednom z postižených bloků. Rovněž je třeba v této souvislosti věnovat pozornost specifické analýze spo- lehlivosti lidského faktoru, jelikož v řadě akcí prováděných personálem JE v prů- běhu těžké havárie vzniklé na více blocích budou jejich pracovníci postupovat spo- lečně.
• fyzikální závislosti způsobené vznikem IU, která může způsobit selhání zařízení
bezpečnostních systémů, což může nastat v důsledku švihů potrubí, nárazem vy- střelených částí zařízení, vlivem tryskajícího média, vlivem okolního prostředí, apod.,
• závislosti na úrovni systému vyvolané lidskými zásahy v důsledku chyb provozní-
ho personálu při opravách, plánované údržbě, testování nebo při provádění kalib- race, které vedou k nedostupnosti nebo k selhání více než jednoho zařízení, které tak nebude k dispozici při odezvě na vzniklou IU,
• závislosti v důsledku lidského selhání v odezvě na vznik IU,
• závislosti na úrovni komponent způsobující selhání komponent v důsledku nedo-
statků v projektu, chyb při výrobě a montáži, jakož i v důsledku nesprávného pro- vozování – tento typ závislostí se zohledňuje pomocí poruch se společnou příčinou (viz následující podkapitola).

V PSA je vždy třeba provést podrobnou analýzu projektu i provozu JE, aby bylo možno identifikovat všechny potenciální závislosti, které by mohly vést k nepohotovosti kom- ponent bezpečnostních systémů nebo ke snížení jejich spolehlivosti při odezvě na uva- žované IU.

Všechny fyzikální a funkční závislosti musejí být explicitně modelovány pomocí stromů událostí či stromů poruch. Stromy poruch musejí zohledňovat všechny hardwarové a funkční závislosti, které by mohly mezi systémy nastat, tj. tyto závislosti musejí být identifikovány a explicitně modelovány. Tyto závislosti je vhodné v doprovodné doku- mentaci specifikovat a popsat v přehledné tabulkové formě, například v tzv. matici zá- vislostí, která se uplatní při konstrukci stromu poruch i při nezávislé kontrole modelu PSA. Poznámka: Explicitně definované a popsané závislosti se nezahrnují do poruch se spo- lečnou příčinou, kam se naopak zahrnují všechny závislosti, které není možno explicitně definovat. Lidské interakce a zbytkové, explicitně nepopsané závislosti mezi selháními komponent jsou diskutovány dále v textu, v podkapitolách týkajících se lidského faktoru a poruch se společnou příčinou.

Závislosti mezi systémy, které by mohly vznikat v důsledku sdílení některých kompo- nent nebo podpůrných systémů, rovněž musejí být identifikovány a explicitně modelo- vány ve stromech poruch. Tento typ závislostí se může vyskytnout například mezi bez- pečnostními systémy, které zajišťují stejnou bezpečnostní funkci nebo s nimi souvisejí- cími podpůrnými systémy.

Poruchy se společnou příčinou

Závislé poruchy, které mohou způsobit selhání více komponent současně a které mohou vznikat v důsledku nedostatků v projektu, chyb při výrobě a montáži, jakož i v důsledku nesprávného provozování se modelují pomocí poruch se společnou příčinou. Požadavek na provedení komplexní analýzy tohoto typu poruch je uveden ve vyhlášce č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 6, odst. 1, písm. m)[P6]).

Ve stromech poruch musejí být identifikovány a modelovány poruchy se společnou pří- činou, které mohou způsobit vyřazení skupiny redundantních komponent. Během analý- zy je třeba identifikovat všechny skupiny komponent potenciálně podléhající poruše se společnou příčinou, jakož i všechny důležité způsoby jejich selhání.

Každá pravděpodobnost poruchy se společnou příčinou pro každý uvažovaný způsob poruchy musí být podrobně zdůvodněna, přičemž se bere do úvahy mimo jiné úroveň redundance v systému, uspořádání komponent (úroveň jejich oddělenosti), kvalifikace zařízení apod. a rovněž provozní a údržbářská praxe.

Odhady pravděpodobností vzniku poruch se společnou příčinou jsou běžně založeny na generických datech s preferencí dat z provozu JE typově blízkých. Zdroje informace pro odhady pravděpodobností musí být doplněny specifickými daty z provozu JE, pokud na dané JE došlo pro daný typ komponent ke vzniku úplné nebo dílčí události CCF.

3.4.3.7 Analýza lidského faktoru

Při vytváření PSA modelu je třeba identifikovat selhání provozního personálu, která mohou mít za následek selhání úspěšné odezvy bloku na uvažované IU nebo mohou IU způsobit, a tato selhání zahrnout do modelu. Identifikaci možných lidských selhání, je- jich zahrnutí do příslušných částí modelu, jakož i kvantifikaci primárních událostí repre- zentujících tato selhání je třeba provádět pomocí strukturovaného a systematického pří- stupu, který musí zajistit, že bude provedena komplexní analýza tohoto fenoménu, viz požadavek vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 6, odst. 1, písm. l)[P6]). Vzhledem k vysokému stupni redundan- ce, diversity i spolehlivosti bezpečnostně významných systémů představují lidská selhá- ní významného přispěvatele k celkovému riziku. Z tohoto důvodu je třeba analýze lid- ského faktoru věnovat zvýšenou pozornost. Důležitým krokem je zejména výběr vhod- ných metod, pomocí nichž se budou jednotlivé typy lidských selhání hodnotit.

Cílem analýzy lidského faktoru je stanovení pravděpodobností lidských selhání, které budou vzájemně konzistentní a budou v souladu s ostatními analýzami provedenými v rámci PSA 1.úrovně.

Analýza lidského faktoru musí být prováděna v úzké spolupráci s pracovníky provozu i údržby JE, aby bylo zajištěno, že bude respektovat projekt i provozní zvyklosti a zkuše- nosti, jak za normálního či abnormálního provozu, tak za havarijních podmínek. Pokud to není technicky možné (například u JE ve fázi projektování či výstavby), musí analytik využít informace z projektově blízkých JE nebo musí podrobně uvádět všechny předpo- klady, na nichž zakládá svou analýzu. Identifikace důležitých lidských zásahů

Pro identifikaci bezpečnostně významných lidských zásahů, které je třeba uvažovat v PSA 1.úrovně, musí být použit strukturovaný a systematický postup. Musejí být za- hrnuty všechny typy lidských zásahů, které jsou uvedeny v následujících odstavcích, pokud taková lidská selhání mohou představovat příspěvek k CDF.

Do analýzy musejí být zahrnuty lidské chyby, které mohou nastat ještě před vlastním výskytem IU, a které mohou potenciálně způsobit selhání nebo neprovozuschopnost bezpečnostně významných zařízení nebo systémů v případě reakce JE na vznik iniciační události (obvykle se tento druh lidských zásahů označuje jako typ A). Tato selhání mo- hou nastat během údržby či oprav zařízení, jakož i při provádění testů nebo při kalibraci. Pokud taková chyba není včas odhalena, může postižená komponenta či skupina kom- ponent být neprovozuschopná v případě požadavku na její akci po vzniku IU. Zejména významné jsou případy, kdy taková chyba může způsobit současnou neprovozuschop- nost více linií bezpečnostních systémů.

Systematické prozkoumání pracovních postupů používaných na JE má umožnit identifi- kaci všech úkolů, kdy se provádí opravy, údržba, testy či kalibrace přístrojů na bezpeč- nostně významném zařízení, které je uvažováno v PSA 1.úrovně, a s těmito činnostmi souvisejících možných lidských chyb typu A. Provedená revize pracovních postupů má umožnit stanovení potenciálu vzniku těchto selhání a jejich vlivu na neprovozuschop- nost či selhání bezpečnostně významného zařízení.

Analýza lidského faktoru musí dále zahrnovat lidská selhání, která mohou přímo způso- bit vznik IU (tento typ lidských chyb se obvykle označuje jako typ B). Identifikaci toho- to typu lidských chyb je opět třeba provádět systematickým přístupem. Je třeba prověřit, zda daný typ lidských chyb je uvažován ve frekvencích vzniku relevantních IU, tj. zda do nich jsou zahrnuta statistická data reprezentující výskyt odpovídajících událostí nebo je efekt možného lidského selhání postižen analyticky. Tento typ lidských selhání se ty- picky vyskytuje v PSA pro nízký výkon a odstávku (LPSPSA).

Analýza lidského faktoru musí zahrnovat rovněž ta lidská selhání, která mohou nastat během odezvy bloku na IU (lidská selhání typu C). Tento typ chyb má potenciál způso- bit selhání bezpečnostně významného zařízení; má vliv na zajištění bezpečnostních funkcí. Tyto lidské chyby představují obvykle nejvýznamnějšího přispěvatele k riziku způsobenému lidským faktorem v rámci PSA 1.úrovně. Při identifikaci chyb typu C je třeba systematicky prostudovat všechny příslušné vnitřní předpisy, zejména pak havarij- ní provozní předpisy, které se zabývají odezvou bloku na postulované spektrum IU.

Aby bylo možno lépe vnímat vliv lidských chyb na výsledky PSA, musejí být tyto chy- by modelovány jako primární události ve stromech poruch nebo nebo ekvivalenty pri- márních událostí přímo v záhlaví stromů událostí. Stanovení pravděpodobností vzniku lidských selhání

Kvantifikace lidských selhání musí zohledňovat faktory, které mohou mít vliv na cho- vání provozního personálu, včetně úrovně stresu, doby, která je k dispozici na provedení zásahu, dostupnosti vnitřních předpisů včetně havarijních provozních předpisů, úrovně tréninku, okolního prostředí, apod. Metody použité pro kvantifikaci lidských chyb musí odpovídat aktuálnímu stavu vědění v této oblasti. V následující tabulce je uvedena stručná charakteristika některých metod, jež je možno využít při provádění konkrétních analýz spolehlivosti obsluhy JE. Tabulka 1: Metody používané pro analýzu selhání lidského faktoru Metoda Charakteristika metody SHARP [G24] Obecný pracovní rámec pro analýzu spolehlivosti lidského činitele, definující základní body celého procesu zajištění analýzy. THERP [G23], První a nyní již klasická metoda analýzy spolehlivosti obsluhy JE ASEP poskytující velké množství generických dat využitelných při kvan- tifikaci pravděpodobností lidských selhání. Návod k užití metody obsahuje množství informací o vlivu vnějších podmínek a organi- začních faktorů na práci obsluhy. Metoda ASEP je zčásti zmoder- nizovanou, kompaktní (zjednodušenou) verzí metody THERP. Důležitou oblastí využití metody THERP je analýza závislostí me- zi akcemi obsluhy. Metoda ASEP je i v současné době často jedním z hlavních nástro- jů pro kvantifikaci manipulativní části akcí obsluhy. HCR Speciální metoda analýzy, která ve spektru faktorů ovlivňujících činnost obsluhy vyzdvihuje dostupný čas. Pravděpodobnost selhá- ní akce se odečítá ze spojité křivky vyjadřující časově závislou ko- relaci. Ostatní vnější podmínky pro práci jsou zohledněny výběrem křivky nejlépe reprezentující aktuální situaci. Analýzy spolehlivosti obsluhy českých JE vycházejí z aktuální úrovně zabezpečení podmínek pro její práci (symptomově založe- né procedury), kde rozhodující většina akcí je prováděna v relativním dostatku času. Časově závislé křivky tak zde má smy- sl používat pouze ve velmi speciálních případech možného nedo- statku času (časová okna kratší než 30 minut). DT (metoda rozhodova- Metoda analýzy rozkládající potenciál pro selhání obsluhy na cích stromů) množinu konkrétních přispěvatelů a v jisté míře zohledňující i in- terakce mezi těmito přispěvateli. Pro kvantifikaci modelových pří- padů selhání využívá tato metoda často sběr dat na plnorozsaho- vém trenažéru. Od poloviny devadesátých let jde o základní prostředek pro kvanti- fikaci pravděpodobnosti chybného zpracování informace operáto- rem. Metoda Charakteristika metody HEART, Metoda využívající rovněž rozklad podmínek ovlivňujících poten- NARA [G29], [G30] ciál pro selhání obsluhy na množinu konkrétních faktorů. Způsob rozkladu je originální, jiný než v podobných metodách z této sku- piny a umožňující tak analýzu některých situací obvyklejšími me- todami stěží postižitelných. SLIM Speciální metoda analýzy, založená na maximálním využití zkuše- ností personálu JE, které jsou získávány a tříděny při skupinovém panelu expertů využívajícím standardizovaných dotazníků. Zpra- covatel analýzy definuje soubor analyzovaných zásahů a množinu faktorů ovlivňujících jejich provedení a subjekt interview pro kaž- dý faktor v kombinaci s každou akcí hodnotí pomocí předdefino- vané stupnice důležitost faktoru a míru jeho negativního prosazení. Data od několika desítek specialistů z JE jsou formálně statisticky zpracována a vyhodnocena. Pravděpodobnosti selhání všech hod- nocených akcí jsou odvozeny interpolací z kalibračních hodnot pravděpodobností selhání získaných z externích zdrojů. ATHEANA [G25], Metoda je formálně přiřazovaná k metodám druhé generace analý- [G26], [G27] zy spolehlivosti lidského faktoru a někdy označována za nástupce pracovního rámce SHARP. Ve skutečnosti si tato metoda udržuje řadu rysů SHARP, které výrazně obohacuje o nové koncepty (error forcing concept, error of commission, obecný důraz na analýzu kognitivních aktivit, důraz na analýzu závislostí, rozsáhlé využití provozní zkušenosti). CREAM [G28] Významná metoda analýzy spolehlivosti lidského faktoru druhé generace, speciálně zaměřena na hodnocení selhání akcí vyžadují- cích kognitivní (duševní) aktivity jako důsledek nedostatečného pokrytí scénářů odezvy na vznik iniciační události symptomově založenými procedurami. Mezi 9 faktorů ovlivňujících potenciál pro selhání obsluhy patří procedury, úroveň týmové práce, úroveň rozhraní mezi uživatelem a strojem, apod. SPAR-H Další z metod pracujících s nominální pravděpodobností selhání pro akci obsluhy daného typu, která je modifikována na základě úrovně ovlivňujících faktorů. Metoda pracuje s typickými faktory (výcvik, procedury, MMI, stress, dostupný čas) a má vcelku vhod- ně a přiléhavě nadefinovány jejich úrovně a jim odpovídající hod- noty ovlivňujících faktorů. Nominální pravděpodobnosti selhání i hodnoty korektivních faktorů se liší pro činnosti obsluhy zaměřené na práce s informací a činnosti zahrnující manipulace.

Pro analýzu podmínek práce obsluhy JE v ČR a modelování a kvantifikaci lidských se- lhání se osvědčily a jsou doporučeny zejména dále uvedené metody:------------------- 1) metoda THERP (selhání typu A a B, závislosti mezi selháními),-------------- 2) metoda rozhodovacích stromů (selhání typu C – část akce zaměřená na práci s dostupnou informací),--------------------------------------------------------------------------- 3) metoda CREAM (selhání typu C, pokud nejsou pro akci k dispozici vhodné procedu- ry), 4) metoda ASEP pro manipulativní část selhání typu C,--------------------------------- 5) metoda SPAR-H pro rychlou a efektivní analýzu lidských selhání všech typů.

Dokumentace HRA musí obsahovat kvalitativní popis každé modelované lidské akce, v němž jsou identifikovány a vyhodnoceny všechny důležité okolnosti práce obsluhy s ní spojené, zejména pak

• časování akce (dostupné časové okno pro akci, popřípadě i očekávaná délka akce
odvozená na základě provozní zkušenosti a/nebo výcviku),
• odpovídající vnitřní provozní předpisy a/nebo předpisy pro činnost při abnormál-
ním stavu a/nebo havarijní provozní předpisy a/nebo další písemné zdroje infor- mace využité obsluhou (návody pro zvládání těžkých havárií, Limity a podmínky provozu apod.),
• vliv prostředí na práci obsluhy,
• provozní praxe a faktory související s organizací a řízením provozu v situaci, kdy
dochází k dané akci, tj. struktura personálního obsazení, rozdělení zodpovědnosti a kompetencí, styl týmové práce, fakta vyplývající z přijímané úrovně kultury bez- pečnosti,
• dostupnost a přesnost informace, komunikační prostředky a podmínky komunika-
ce,
• teoretický i praktický výcvik v provádění daného scénáře a konkrétní akce jako je-
ho součásti včetně výcviku na počítačovém trenažéru, simulátoru – replice blokové dozorny, popřípadě výcvik v praktickém provádění lokálních manipulací, speciální výcvik vybraných činností u scénářů hrozících ztrátou bezpečnostních funkcí (vy- užití mobilních prostředků zajištění elektrického napájení nebo odvodu tepla)
• kontext předchozího a následně očekávaného průběhu havarijního scénáře vliv
předchozích akcí, a to zejména v případě, pokud selhaly.

Ze současné praxe analýz lidského faktoru a organizačních faktorů vyplývá, že lidská selhání jsou výrazně ovlivněna dosaženou úrovní kultury bezpečnosti na JE. Nejaktuál- nější metody HRA jsou schopné postihnout při kvantifikaci lidských selhání vybrané aspekty organizačních faktorů, včetně nižší kultury bezpečnosti, většinou jako součást jiného, často obecnějšího faktoru. Například metoda NARA postihuje mimo jiné faktor „nízká pracovní morálka nebo nepříznivé organizační prostředí “, metoda CREAM ob- sahuje například faktory „Adequacy of Organisation, Working conditions, Crew colla- boration quality, Communication“, které zpracovateli HRA rovněž umožňují nepřímo zohlednit sníženou kulturu bezpečnosti. Hodnocení závislostí mezi lidskými selháními

Mezi některými lidskými chybami zahrnutými do konkrétní specifické sekvence stromu událostí PSA modelu existují závislosti, které mohou nastat v důsledku nedokonalých vnitřních předpisů, chybné diagnózy a především zvýšené hladiny stresu obsluhy po předchozím selhání. Tyto závislosti musejí být během analýzy lidského faktoru identifi- kovány a kvantitativně ohodnoceny. Nedostatečně provedená analýza závislostí může vést k výraznému podcenění rizika spojeného s daným havarijním scénářem.

Systematickou identifikaci závislých lidských selhání je možné provádět dvěma způso- by: 1) systematickou analýzou aktuálního stavu havarijních sekvencí modelovaných stro- mem událostí a navazujícími stromy poruch, 2) systematickým vyhodnocením minimálních kritických řezů obsahujících jako pri- mární události více než jedno selhání obsluhy. První způsob je náročnější, ale má lepší předpoklady poskytnout úplný seznam závis- lých selhání. Druhý způsob může teoreticky vést k opomenutí závislosti v případě, že pojímání daných primárních událostí v minimálním kritickém řezu jako nezávislých ve- dlo k neoprávněnému poklesu jeho významu a „ukrytí“ daného MKŘ mezi nevýznam- nými MKŘ.

Při identifikaci závislostí pomocí analýzy MKŘ musejí být identifikovány MKŘ, které obsahují více lidských chyb, a hodnocen vliv závislosti mezi každými dvěma primární- mi událostmi modelujícími selhání obsluhy v každém takovém MKŘ. Odhalení skuteč- ně všech relevantních MKŘ je možno technicky provést zadáním vysoké pravděpodob- nosti lidských selhání v MKŘ, například 0,9 a přepočtem modelu PSA jako celku. U takto získaných MKŘ s nezanedbatelným příspěvkem k riziku je pak třeba prověřit stu- peň závislosti mezi jednotlivými selháními obsluhy a zohlednit jej při kvantifikaci.

Návodu a je plně aplikovatelný i pro LPSPSA. V této kapitole budou uvedena některá specifická doporučení pro analýzu dat odrážejících zkušenost z nevýkonového provozu.

V této kapitole jsou rozebírány požadavky na analýzu dat pro odhad frekvencí vzniku IU, pravděpodobností selhání komponent a nepohotovostí komponent v důsledku pro- vádění testů, plánované či neplánované údržby. Kvantitativní analýza poruch se společ- nou příčinou a selhání lidského činitele je nastíněna v předchozích kapitolách 3.4.3.6 a

Návodu, odst. (3.158) a (3.160). V LPSPSA se ovšem mohou výrazněji projevit závislosti i mezi selháními typu B a C. Pokud například IU „Ztráta odvodu zbytkového tepla“ je přímo způsobena lidským selháním, tato skutečnost bude pravděpodobně kom- plikovat nápravnou akci při opětném zajišťování funkce odvodu zbytkového tepla a mů- že vést k nárůstu pravděpodobnosti jejího selhání v porovnání s případem, kdy ztráta funkce byla způsobena selháním zařízení.

Obecně platí, že nejvhodnější pro kvantifikaci modelu PSA jsou specifická data, získaná z provozu analyzované JE, případně z elektráren podobného typu, pokud se ukáží jako relevantní. Specifická data ovšem nebudou k dispozici pro nově postavenou nebo krátce provozovanou JE. V takovém případě je třeba využít data z elektráren, které byly posta- veny na základě stejného nebo podobného projektu, a lze předpokládat, že jsou provo- zovány a udržovány obdobným způsobem. Pokud ani tam není možné příslušná data získat, je nutno využít data generická.

Pokud v dostupných zdrojích provozní zkušenosti nelze zjistit žádnou poruchovou udá- lost a odhad příslušného parametru (tj. frekvence vzniku IU, pravděpodobnosti selhání komponenty apod.) se provádí na základě generických dat, je třeba porovnat data z různých zdrojů, objasnit rozdíly mezi získanými hodnotami a vybrat takovou hodnotu parametru, která v daném případě nejlépe odpovídá projektu a způsobu provozování da- ného zařízení a JE jako celku. Nedoporučuje se jako odhad parametru použít zprůměro- vanou hodnotu z dostupných generických dat nebo jejich podmnožiny.

V případě popsaném v předchozím odstavci i v dalších situacích, kde je k dispozici jistý nepostačující objem preferované specifické provozní zkušenosti a generická data, je vhodným postupem kombinovat specifická a generická data z různých zdrojů sofistiko- vanými metodami Bayesovského přístupu. Frekvence vzniku IU

Ke každé skupině IU uvažované v PSA modelu musí být přiřazena frekvence vzniku, viz požadavek vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 6, odst. 1, písm. e)[P6]). Ta musí zohledňovat všechny možné příčiny jejího vzniku. Frekvence stanovená pro skupinu IU představuje součet frekvencí vzniku jednotlivých IU zahrnutých do skupiny.

Frekvenci vzniku některých typů IU je možno získat pomocí stromu poruch, v němž se modelují veškerá možná selhání zařízení i možná lidská selhání, která mohou buď jed- notlivě, nebo v kombinaci vést ke vzniku dané IU. Hodnota získaná výpočtem stromu poruch musí být konzistentní s provozní zkušeností.

Určená frekvence IU, které se již vyskytly, musí odpovídat provozním zkušenostem na analyzované JE a na dalších JE podobného typu.

V dokumentaci PSA 1. úrovně musí být uveden popis každé skupiny IU definované pro danou JE, včetně popisu jednotlivých IU tvořících skupinu, hodnota frekvence jejího vzniku, popis toho, jak byla tato frekvence stanovena, a indikace úrovně neurčitosti od- hadu frekvence. Pravděpodobnosti selhání komponent

Všechny primární události reprezentující v PSA modelu selhání komponent je třeba kvantifikovat s využitím spolehlivostních dat, která musejí být konzistentní s typem komponenty, jejími hranicemi definovanými v modelu, způsobem jejího provozu a uva- žovaným způsobem poruch.

Pro komponenty, u nichž se při modelování havarijního scénáře předpokládá doba pro- vozu (jako například čerpadla), musí být v rámci tvorby spolehlivostního modelu kom- ponenty stanovena požadovaná doba provozu. Tato doba musí zohledňovat čas potřebný pro dosažení bezpečného, stabilního odstavného stavu JE, či pro uplatnění dlouhodobé nápravné akce k takovému stavu vedoucí. Stanovení této doby musí být zdůvodněno v dokumentaci PSA, viz požadavek vyhlášky č. 162/2017 Sb., o požadavcích na hodno- cení bezpečnosti podle atomového zákona, § 6, odst. 1, písm. b)[P6]).

V dokumentaci PSA musejí být přehledně uvedena všechna data a doplňující informace použitá pro kvantifikaci selhání komponent v PSA modelu. Odvozené hodnoty pravdě- podobností selhání komponent je třeba podrobně zdůvodnit. Popis musí obsahovat sta- novení hranic komponent, jejich způsobů poruch, střední hodnotu pravděpodobnosti je- jich selhání, informace o neurčitostech spojených s daty i odkazy na použité zdroje dat. Nepohotovost komponent z důvodu provádění údržby či testů

Při kvantifikaci primárních událostí v modelu PSA je třeba rovněž brát do úvahy mož- nost, že zařízení JE bude nepohotové v důsledku provádění plánované či neplánované údržby nebo testů. Numerické hodnoty použité pro odhad nepohotovosti z důvodu údrž- by na základě četnosti těchto činností a jejich doby trvání musejí realisticky odrážet praxi, která je uplatňována v JE, případně která je pro danou JE plánována. Pro odhad nepohotovosti musejí být důsledně využívána specifická data získaná z rozborů doku- mentace údržby na analyzované JE. Pouze v případě PSA pro nově připravovaný nebo budovaný jaderně energetický zdroj je možné odhad nepohotovosti z důvodu údržby za- ložit na očekávané strategii údržby nebo testů..

Podklady požité pro odhad nepohotovosti zařízení v důsledku testů či provádění údržby opět musejí být doloženy v dokumentaci PSA, buď přímo, nebo pomocí odkazů na jed- noznačně specifikované dokumenty.

Kvantifikace, MKŘ, importanční míry

Před kvantifikací PSA modelu je třeba prověřit absenci logických smyček a jejich pří- padný výskyt eliminovat, viz požadavek vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 6, odst. 1, písm. i)[P6]. V dokumentaci PSA je třeba logické smyčky popsat, včetně způsobu jejich eliminace.

Kvantifikace PSA modelu se musí provádět pomocí programového vybavení, které bylo validováno a verifikováno. V ČR pro něj musí existovat pozitivní stanovisko SÚJB k jeho užívání. K dispozici pro kvantifikaci je řada komerčně dostupných kódů (napří- klad RiskSpectrum® PSA Professional, WinNupra® PSA, CAFTA). Uživatel si musí být vědom omezení, která daný programový prostředek má. V praxi se ke kvantifikaci modelu PSA používá stejný software, v jehož prostředí se PSA model vyvíjí.

Výstupem kvantifikace PSA modelu pro provoz bloku na výkonu zahrnujícího interní IU je soubor následujících položek:

• hodnota celkové CDF pro provoz bloku na výkonu,
• seznam dominantních MKŘ, včetně popisu a rozboru jejich logiky,
• seznam dominantních havarijních sekvencí, včetně popisu a rozboru jejich logiky,
• příspěvky jednotlivých skupin IU k celkové CDF,
• hodnota odseku výpočtu,
• výsledky importančních měr (Fussell–Vesely nebo FC, RRW /RDF/, RAW /RIF/,
případně dalších) pro modelované komponenty, systémy a lidské zásahy, popřípa- dě další vybrané skupiny objektů z modelu PSA,
• výsledky citlivostních studií a analýz neurčitostí,
• dílčí frekvence různých stavů poškození AZ separátně modelovaných v PSA 2.
úrovně, pokud dané PSA 1.úrovně má být východiskem pro PSA 2.úrovně.

Po provedení kvantifikace je třeba zkontrolovat, zda získané MKŘ představují reálný rozvoj těžké havárie, který odpovídá modelovaným havarijním sekvencím, a zda sku- tečně vedou k poškození paliva v AZ. Rovněž je třeba prověřit, zda v získaném seznamu MKŘ nechybějí řezy, které by tam bylo možno logicky očekávat na základě dřívějších zkušeností s vývojem a kvantifikací PSA modelu pro stejnou JE, popřípadě zkušeností s vývojem modelu PSA pro podobné JE. Musejí být odstraněny MKŘ, které obsahují vzájemně se vylučující primární události, případně provedena taková úprava modelu, aby tyto řezy již nevznikaly.

Jelikož vzhledem k rozsahu získaných výsledků pro typický model PSA pro JE není prakticky možno prověřit všechny MKŘ; kontrola dle předchozího odstavce se musí provést pro všechny MKŘ, které představují „významné přispěvatele k riziku“ dle krité- ria explicitně definovaného v dokumentaci a založeného na absolutní nebo relativní hodnotě příspěvku k riziku. Obdobným způsobem, který je konzistentní s „významným příspěvkem k riziku“, musí být zaveden pro danou studii PSA termín „významná hava- rijní sekvence“.

Po provedení prvotní kvantifikace PSA modelu je možno zvážit zahrnutí nápravných akcí (recovery) do PSA modelu tam, kde se to jeví potřebné (například tam, kde by pou- žitý konzervativní přístup opírající se o zjednodušující předpoklady vedl k významnému nadhodnocení rizika) a kde to skutečná realita provozu JE reálně umožňuje.

Omezení zakomponovaná ve výpočtových programech a potřeba provádění kvantifikace PSA modelu v relativně krátkém čase vyžadují stanovení odseku výpočtu eliminující MKŘ s nízkou frekvencí z výpočtů a výsledků. Odsek výpočtu je třeba volit dostatečně citlivě, aby splnil svůj účel ve vztahu ke zkrácení délky výpočtu modelu PSA a aby sou- časně nedocházelo k významnému podhodnocení určované hodnoty CDF.

V dokumentaci PSA musejí být podrobně uvedeny všechny výše zmíněné položky, včetně komentářů objasňujících dosažené hodnoty. Srozumitelně musejí být popsány rovněž hlavní MKŘ a dominantní havarijní sekvence i výsledné importanční míry. Importanční míry

K interpretaci výsledků PSA při hodnocení rizikové významnosti různých prvků modelu PSA musejí být stanoveny a využity importanční míry pro primární události, systémy, lidský faktor, skupiny IU apod. Importanční míry, které se při kvantifikaci PSA obvykle využívají, jsou následující:

• Risk Reduction Worth (Risk Decrease Factor, Risk Decrease Ratio)
• Risk Achievement Worth (Risk Increase Factor, Risk Increase Ratio)
• Fussell–Vesely Importance (někdy se též používá Fractional Contribution)
• Birnbaum Importance.

Analýza neurčitostí a citlivostní analýzy Typy neurčitostí

Každé PSA má ve vytvořeném modelu i výsledcích jeho kvantifikace obsaženy potenci- álně významné nejistoty několika typů:

• nejistoty vyplývající z neúplnosti modelu PSA nebo jeho částí (prakticky není
možno identifikovat a do PSA zahrnout úplně všechny havarijní scénáře, které by se mohly vyskytnout),
• nejistoty související s použitými modely a předpoklady, které byly v PSA přijaty,
efekt některých lze blíže popsat pomocí citlivostních studií)
• nejistoty související s parametry použitými v modelu PSA, pro jejichž prezentaci a
zhodnocení existují poměrně sofistikované metody opírající se o předem postulo- vaná pravděpodobnostní rozdělení (lognormální, ale i další).

Při každé aplikaci PSA je třeba všechny nejistoty pozorně zvážit a posoudit jejich vliv na získané výsledky. Provedený rozbor nejistot je třeba podrobně zdokumentovat a do- plnit jím závěry vycházející z PSA, které mají sloužit pro kvalifikované integrované ri- zikově informované rozhodování. Citlivostní studie

Jako součást kompletní PSA musejí být provedeny citlivostní studie, jejichž cílem je stanovit citlivost výsledků PSA 1.úrovně na klíčové použité předpoklady a hodnoty od- vozených spolehlivostních parametrů, s prioritním zaměřením na ty předpoklady a data, která vykazují vysokou míru neurčitostí a současně mohou mít významný vliv na vý- sledky PSA a způsob jejich využití.

Analýza citlivosti na klíčové předpoklady se provádí alternativním výpočtem modelu opírajícím se o jiné verze těchto předpokladů. Analýza citlivosti na hodnoty parametrů se provádí varírováním hodnot parametrů v určitém rozmezí (často jde o rozmezí 10x menší až 10x větší).

Pro určení „významného vlivu na výsledky PSA“ s požadavkem na provedení analýzy citlivosti je třeba stanovit buď numerické kritérium (absolutní nebo relativní) nebo kva- litativní kritérium (vznik nové havarijní sekvence) nebo ustavit kombinaci obou - vznik nové významné havarijní sekvence, viz odst. (3.178).

Výsledky citlivostní studie mohou být využity k dokumentaci toho, zda je projekt JE vyvážený, zda existují slabá místa v projektu nebo v provozování JE, či zda stanovené kritérium nebo limit využívající míru rizika CDF může být překročen. Analýzy neurčitostí

Pro parametry použité při kvantifikaci PSA modelu musejí být v rámci analýzy neurči- tosti specifikována příslušná statistická rozdělení jejich neurčitostí. Z explicitního popi- su hodnot neurčitosti jednotlivých kvantitativních parametrů modelu PSA pomocí zvo- leného rozdělení neurčitosti a jeho parametrů lze specifikovat i neurčitosti v získaných výsledcích PSA 1.úrovně, tj. především v hodnotě CDF. Výsledky analýz neurčitosti mohou poskytnout určitou podporu pro závěry, zda může dojít při provozu JE k překročení stanoveného bezpečnostního kritéria nebo limitu využívajícího míru rizika CDF.

Obecné metodické aspekty PSA 1. úrovně pro plošně působící vnitřní a vnější IU (vnitřní a vnější rizika)

Úvod

Ke vzniku havarijních podmínek na JE může dojít kromě náhodných selhání zařízení či lidských selhání, které mohou způsobit vznik IU, rovněž i působením dalších rizik, které mohou být rozděleny na: a)Vnitřní rizika způsobená zdroji, které se nacházejí uvnitř areálu JE, ať už uvnitř nebo vně budov. Příkladem tohoto typu rizik mohou být vnitřní požáry, vnitřní záplavy, vy- střelení částí turbíny, transportní havárie uvnitř areálu nebo únik toxických látek ze skladiště umístěného uvnitř JE. b)Vnější rizika způsobená zdroji, které se nacházejí vně areálu JE. Příkladem uvedeného typu rizik mohou být zemětřesení, vnější požáry, vnější záplavy, extrémní větry a vě- trem vymrštěné předměty a další přírodní hazardy související s počasím, dopravní ha- várie, úniky toxických, hořlavých či výbušných látek z okolních provozů.

Rizika zmíněná v předchozím odstavci mohou poškodit zařízení JE a tím způsobit vznik havarijních podmínek potenciálně vedoucích až k poškození AZ nebo paliva v BS (nebo k jinému nežádoucímu koncovému stavu rozvoje havarijní sekvence, uvažovanému v PSA 1.úrovně). Často tyto události mohou způsobit současné poškození více zařízení JE a rovněž nepříznivě ovlivnit kvalitu a spolehlivost prací zajišťovaných personálem JE. Oba typy rizik musejí být v rámci PSA 1.úrovně analyzovány.

Postup analýzy

Při identifikaci vnitřních a vnějších rizik i při analýze jejich příspěvků k CDF, případně FDF, musí být uplatněn konzistentní přístup. Hlavní etapy analýzy obou typů rizik jsou následující: 1) sběr výchozích informací týkajících se vnitřních a vnějších rizik (viz par.

Sběr výchozích informací

V rámci analýzy musejí být zvážena všechna potenciální vnitřní a vnější rizika, která mohou ohrozit JE, viz požadavek vyhlášky č. 162/2017 Sb., o požadavcích na hodnoce- ní bezpečnosti podle atomového zákona, § 5, odst. 2, písm. c)[P6]. Všechna identifiko- vaná rizika musejí být roztříděna dle kvalitativních i kvantitativních kritérií a podrobena hraniční analýze, případně i přiměřené detailní analýze.

Jak již bylo zmíněno v odst. (3.174), aby bylo možno vyloučit logické smyčky, tak se z modelu odpojují některé části, které reprezentují náhodná selhání komponent (napří- klad logická smyčka mezi technickou vodou důležitou a elektrickým napájením přeru- šená odpojením částí modelu reprezentujících relevantní elektrické rozvaděče). Závislá selhání takovýchto zařízení, jejichž náhodné poruchy byly z modelu odpojeny, vzniklá v důsledku poškození některým typem rizika je třeba v PSA modelu zohlednit.

Před vlastním zpracováním analýz vnitřních a vnějších rizik je třeba shromáždit všechny relevantní dostupné informace, se speciálním zaměřením na: a)informace týkající se vnitřních a vnějších rizik, které byly uvažovány v rámci projektu JE (jsou obsaženy v předběžné bezpečnostní zprávě, provozní bezpečnostní zprávě pro první fyzikální spouštění jaderného zařízení s jaderným reaktorem, provozní bezpeč- nostní zprávě, bezpečnostní zprávě k vyřazování z provozu jaderného zařízení - dle fá- ze životního cyklu, pro nějž se PSA provádí), b)seznam a umístění budov JE, systémů, konstrukcí i komponent, c)plán JE, topografii areálu a území k umístění JE (ve smyslu vyhlášky č. 378/2016 Sb., o umístění jaderného zařízení [P8]), d)informace o rozmístění potrubních linií, dopravních cest a o skladech nebezpečných látek uvnitř i vně areálu JE, e)umístění průmyslových celků v blízkém okolí JE, f)historické informace o výskytu všech možných vnitřních i vnějších typů rizik v území k umístění JE (ve smyslu vyhlášky č. 378/2016 Sb., o umístění jaderného zařízení [P8]).

Shromážděné výchozí informace musejí být doplňovány a rozšiřovány během provádění vlastní analýzy těchto rizik v závislosti na potřebné úrovni detailů pro vytřídění rizik, hraniční analýzy nebo podrobné analýzy jednotlivých rizik.

Identifikace vnitřních a vnějších rizik

Smyslem této části analýzy je vytvořit kompletní seznam možných vnitřních i vnějších rizik, která se mohou reálně vyskytnout v daném území k umístění JE [P8]. Příklady konkrétních rizik, která by se mohla vyskytnout v ČR, jsou uvedeny v následujících od- stavcích.3

Vnitřní rizika uvnitř areálu JE: a)vnitřní požáry, b)vnitřní záplavy, c)vystřelení částí zařízení, d)exploze vnitřního zařízení, e)elektromagnetické rušení (EMI), 3 Ve vyhlášce č. 378/2016 Sb., o umístění jaderného zařízení [P8] je uveden podobný seznam pro vnější rizika, nicméně seznam uvedený zde je v některých bodech podrobnější (např. jsou zde vyjmenována konkrétní vnější rizika, která jsou shrnuta v [P8] pod obecným bodem „klimatické a meteorologické jevy). Dále, vyhláška [P8] uvádí pojem „vířivé elektrické proudy”, ve skutečnosti se však jedná o bludné elektrické proudy. f)úniky nebezpečných látek, g)pády břemen, h)radiační nehoda nebo radiační havárie na jiném JZ v areálu JE.

Vnější rizika způsobená přírodními podmínkami: a)zemětřesení (seismicita), b)vnější požáry, c)vnější záplavy (způsobené extrémními srážkami, prudkým táním sněhu, apod.), d)extrémní větry, e)tornáda, f)biologické fenomény (jako například abnormální výskyt ryb v chladící nádrži, výskyt řas, apod.) g)písečné nebo abrazivní bouře, h)sluneční bouře, i)blesky, j)vysoké teploty vzduchu, k)extrémní sucho, l)nízké teploty vzduchu, m)extrémní námraza, n)extrémní sněhová pokrývka, o)pád meteoritu.

Vnější rizika způsobená lidskou činností: a)nehody transportů, produktovodů, výrobních závodů - úniky hořlavých, výbušných či toxických látek:

• exploze vně JE,
• únik toxických látek vně JE,
• požár vně JE,
b)elektromagnetické rušení (EMI), c)bludné elektrické proudy, d)silné vibrace, e)pády zbytků umělých družic, f)pády letadel, g)vliv jiného JZ (radiační nehoda nebo radiační havárie vzniklá v blízkém okolí daného JZ).

K identifikaci tohoto typu rizik je vhodné aplikovat následující dvou krokový postup: 1) V prvním kroku se zahrnují všechna rizika popsaná v publikacích IAEA (viz například [G14], [G15], [G16], [G18], [G46], [G44], [G45], [G48], [G47], [G48]) a na ně navazujících studiích. 2) Ve druhém kroku se zpracovávají rizika specifická pro danou JE a dané území k umístění JE, viz [P8].

Při provádění analýzy provozované JE musí být nedílnou součástí identifikace vnitřních a vnějších rizik zmapování území k umístění JE (dle [P8]) a též obhlídky JE na místě.

V další části analýzy musí být vytvořen seznam možných kombinací individuálních ri- zik. Kombinace rizik mohou mít významně vyšší vliv na jadernou bezpečnost, radiační ochranu a zvládání radiační mimořádné události JE než jednotlivá rizika uvažovaná sa- mostatně, přičemž frekvence výskytu takových kombinací může být i srovnatelná s frekvencí vzniku jednotlivých rizik v případě, že nejde o rizika nezávislá (například vysoká úroveň hladiny v důsledku bouřkových srážek a protržení přehradní hráze v důsledku téhož jevu). Proces identifikace rizik musí obsahovat identifikaci všech kombinací rizik, které mohou mít nezanedbatelný vliv na celkové riziko.

Pro analýzu kombinací rizik je nutné na počátku pracovat s úplným seznamem individu- álních rizik, a to ještě před provedením třídících analýz pro tento seznam. Obvykle kombinace rizik zahrnují především rizika způsobená přírodními podmínkami (napří- klad kombinace extrémního větru a vysoké úrovně hladiny jezera), avšak mohou se vy- skytnout i kombinace rizik způsobených přírodními podmínkami a lidskou činností (na- příklad nárůst rizika havárie transportu v případě extrémního počasí).

Obecně musí být přístup použitý při identifikaci realistického souboru kombinací rizik založen na systematickém prověření závislostí mezi všemi riziky. Musejí být zváženy následující kategorie kombinací rizik: a)rizika nastávající za blízkých podmínek a ve stejnou dobu (například extrémní vítr a sněhové srážky), b)jedno vnější riziko může vyvolat další vnější riziko (například zemětřesení způsobí protržení přehradní hráze, důsledkem čehož je vnější záplava), c)vnější rizika mohou způsobit vnitřní rizika (například zemětřesením vyvolané vnitřní požáry a záplavy), d)jedno vnitřní riziko může způsobit jiná vnitřní rizika (například vnitřní záplavy způso- bené vystřelením částí zařízení).

V další části analýzy musí být zhodnocen vliv kombinací rizik na jednotlivé bezpeč- nostní funkce, tj. jak mohou dané kombinace rizik ovlivnit různé bezpečnostní funkce nebo stejnou funkci závažnějším způsobem než jednotlivá rizika.

Roztřídění vnitřních a vnějších rizik

Proces postupného výběru (třídění) rizik se obecně provádí s cílem minimalizovat další analýzy těch vnitřních a vnějších rizik, jejichž vliv na riziko je minimální a naopak po- drobně se soustředit na ta rizika, jejichž příspěvek k riziku je významný. Tento proces musí být aplikován konzistentně a kritéria výběru musejí být specifikována způsobem, který zajistí, že nebude opomenut žádný rizikově významný přispěvatel z oblasti vnitř- ních a vnějších rizik relevantních pro dané území k umístění JE (viz [P8]) a danou JE. Jednotlivé kroky a výsledky procesu výběru rizik musejí být prezentovány v dokumentaci PSA 1.úrovně.

Obvykle se používají následující kritéria výběru: a)Na základě kvalitativních argumentů je možno prokázat, že vnitřní či vnější riziko ne- vede ke vzniku IU. Pro vnější rizika je toto kritérium obecně aplikováno, když vnější riziko nemůže vzniknout dostatečně blízko JE, aby jí mohlo negativně ovlivnit. Přija- telnost kritéria závisí na velikosti daného rizika. b)Vnitřní či vnější riziko se v rámci indukované události bude pomalu rozvíjet a je mož- no prokázat, že na JE bude dostatek času a prostředků k dostatečně včasné eliminaci zdroje ohrožení nebo pro zajištění adekvátních protiopatření. c)Vnitřní či vnější riziko je zahrnuto v definici jiného vnitřního či vnějšího rizika. d)Vnitřní či vnější riziko má významně nižší střední hodnotu frekvence výskytu než jiná rizika s podobnými neurčitostmi a nebude mít horší následky než zmíněná rizika. Při- tom platí, že neurčitosti při stanovování frekvence vnitřního či vnějšího rizika vylou- čeného z výše uvedeného důvodu z dalších analýz nebudou významně ovlivňovat cel- kové riziko.

Kvantitativní kritéria použitá pro vyloučení vnitřních či vnějších rizik z další analýzy závisejí na celkových cílech PSA 1.úrovně a uvádějí do souladu CDF (případně FDF) od interních IU a od vnitřních či vnějších rizik. Vnitřní a vnější rizika, která mají velmi nízkou frekvenci výskytu, ale velmi vážné potenciální následky z hlediska úniků radio- aktivních látek, musejí být v PSA 1.úrovně ponechána vzhledem k dalším analýzám v rámci PSA 2.úrovně.

Rizika, která mohou vzniknout uvnitř budov JE, nesmějí být vyloučena jako kategorie, ale vždy musejí být předmětem buď hraniční, nebo podrobné analýzy.

Musejí být specifikovány nejvýznamnější parametry mající vztah k potenciálním ško- dám v důsledku vnitřních či vnějších rizik. Pokud potenciální škody nelze vymezit jed- ním parametrem, je třeba uplatnit více parametrů. Všechny parametry stanovené pro vnitřní či vnější rizika musejí být uvažovány při provádění analýz výběru (například úroveň vodní hladiny a tlak od průtoku).

Obecně platí, že minimálně následující vnější rizika nesmí být během procesu výběru a- priori vyloučena z dalších analýz: a)zemětřesení (seismicita), b)vnější rizika způsobená lidskou činností, c)extrémní větry (včetně tornád).

Aby bylo možno vyloučit specifická rizika z kategorie extrémní vítr, musí být ověřeno, že klimatické podmínky specifické pro dané území k umístění JE (viz [P8]) dovolují předpokládat, že se tam dané konkrétní riziko nevyskytne v dostatečné síle. Extrémní větry s dostatečným potenciálem pro poškození JE lze vyloučit pouze v případech, kdy je možno prokázat, že frekvence výskytu rychlosti větru překračující nebezpečnou mez je zanedbatelná. Kombinace extrémních větrů s ostatními vnějšími riziky, jako jsou deš- ťové srážky nebo záplavy je třeba rovněž zvážit. Při provádění eliminačních analýz je nutno rovněž zvážit možnost přemísťování objektů větrem (zejména v případě tornád), kdy se těžké objekty mohou projevit jako neřízené střely vymrštěné proti zařízení JE.

Při výběru rizik typu vnější záplavy se musí brát v úvahu následující: a)umístění JE z hlediska vzdálenosti od řek nebo jezer a možnost jakéhokoli zaplavení, které může danou oblast zasáhnout, b)doba potřebná pro vydání výstrahy: i. tato doba může být dostatečně dlouhá, aby umožňovala odstavení z provozu v případě JE umístěných v blízkosti řek (například více jak jeden den před událos- tí), ii. časově závislé pravděpodobnosti úspěchu při reakci na varování a úspěšnosti potenciálních nápravných akcí musejí být v takovém případě zohledněny, c)typ konstrukce v místě pro zadržování vody, d)je možné, že jiné sousední plochy budou zaplaveny v případě vzniku záplav a že úro- veň hladiny bude vyšší, než se očekávalo.

Pro všechna vnitřní rizika vznikající mimo budovy JE a pro všechna vnější rizika musí být odhadnut přibližný maximální účinek daného typu rizika, který by mohl nastat (daný pesimistickými předpoklady o událostech, které se mohou vyskytnout po vzniku hava- rijních podmínek) a využit při procesu výběru.

Pokud nemohou být uplatněna kritéria výběru na dané riziko jako celek, ale mohou být aplikována na riziko určitého stupně (velikosti), musí být dané riziko rozděleno do pod- kategorií a kritéria výběru se musejí uplatňovat na každou takto vzniklou podkategorii.

Kritéria výběru je nutno aplikovat tak, aby rizika, jejichž kombinovaný vliv může vést k vážným následkům modelovaným iniciačními událostmi, nebyla vyloučena, i kdyby každé z nich uvažované nezávisle mělo zanedbatelný příspěvek k riziku.

Aplikace kritérií výběru musí být svázána s aktuálním stavem JE i daného území k umístění JE (viz [P8]), a musí být při ní zohledněny již uskutečněné bezpečnostně vý- znamné změny původního projektu. Speciální pozornost je nutné věnovat změnám, kte- ré mají potenciál pro vznik nového typu rizika nebo mohou vést k nárůstu frekvence vzniku nějakého již identifikovaného rizika.

Specifika PSA 1. úrovně pro vnitřní rizika

Úvod

V této kapitole jsou uvedena doporučení pro analýzu následujících typů vnitřních rizik, která jsou pro provoz JE v ČR a-priori pokládána za nejvýznamnější (ostatní možná ri- zika zde nejsou analyzována, ale obecně by pro ně platil podobný přístup): a)vnitřní požáry, b)vnitřní záplavy, c)pády břemen, d)vystřelení částí turbíny, e)vnitřní exploze.

Hraniční analýzy a podrobné analýzy PSA 1. úrovně pro vnitřní ri- zika

Vnitřní rizika, která mohou nastat uvnitř budov JE, musejí být uvažována v rámci hra- ničních analýz a / nebo podrobných analýz a konzervativní vylučovací analýzy bývají pro ně obvykle vynechány (v mnohých PSA se ukázalo, že vnitřní rizika z těchto kate- gorií často představují významného přispěvatele k celkovému riziku provozu JE). K hraničním analýzám a podrobným analýzám v rámci PSA 1.úrovně musí být pro všech- na vnitřní rizika uplatněn konzistentní přístup. V typickém případě postup řešení zahr- nuje následující činnosti: a)sběr podpůrných informací týkajících se areálu a dané JE, který se provádí za pomoci obhlídek zařízení na místě, všude tam, kde je lze provést, b)charakteristiku vnitřních rizik: identifikace rizik, výpočty frekvence jejich vzniku a analýzy jejich vlivu na JE (analýzy následků), c)integraci PSA pro vnitřní rizika do PSA 1.úrovně pro interní IU: i)stanovení IU způsobených vnitřními riziky, ii) identifikaci a provedení nutných revizí existujících stromů událostí a stromů poruch, které byly sestrojeny v rámci PSA 1.úrovně pro interní IU, iii) analýzy specifických závislostí a CCF v kontextu těchto rizik, iv) analýzu specifických dat spojených s účinkem vnitřních rizik, v)analýzu specifických aspektů lidských zásahů v podmínkách účinku vnitř- ních rizik, d)kvalitativní a / nebo kvantitativní výběr, e)kvantifikaci příspěvků vnitřních rizik k CDF a FDF (analýzu výsledků, citlivostní stu- die, analýzy neurčitostí a využití importančních měr k ocenění důležitosti), f)zpracování adekvátní dokumentace (mimo jiné obsahující všechny předpoklady a refe- rence použité při analýze).

Některá vnitřní rizika (vnitřní exploze, požáry, záplavy atd.) mohou nastat v různých částech JE (místnosti, budovy nebo kdekoli jinde v areálu JE). V takových případech jedna z charakteristik typu rizika specifikuje:

• celkovou hranici analýzy ve smyslu uvážení všech částí areálu JE, kde by události
iniciované vnitřními riziky mohly nezanedbatelně přispět k celkovému riziku pro- vozu,
• uzavřená pracoviště v rámci JE, o nichž je možno předpokládat, že existující
ochranná opatření v projektu JE (fyzická separace, bariéry, izolační zařízení atd.), budou zabraňovat šíření poškození z nich do vnějších prostor.

Příspěvky k CDF (FDF) od vnitřních rizik, které zbydou po provedení eliminační analý- zy, musejí být stanoveny pomocí PSA 1.úrovně pro vnitřní rizika. Existence modelu pro odezvu JE na interní IU pro výkonové, nízkovýkonové stavy a odstávku je nezbyt- ným předpokladem pro rozvoj PSA pro vnitřní rizika. Výsledky analýzy vnitřních rizik mohou vést k zařazení dalších IU k již existujícím IU (například úplná ztráta informací na blokové dozorně následkem požáru). V takových případech musejí být doplněny no- vé havarijní sekvence stromů událostí a integrovány do PSA modelu 1.úrovně.

Pro účely zjednodušených kvantitativních hodnocení rizika vyplývajícího ze specifických vnitřních rizik nebo pro vylučování uzavřených pracovišť v JE specifi- kovaných v odst. (3.221) může být stanovena CDF (FDF) bez použití podrobného PSA modelu pro vnitřní rizika. V takovém případě lze využít následující obecný vzorec pro výpočet kumulativního příspěvku specifického rizika k CDF (FDF): fhcd = ∑ fhl i X CCDPi (CFDPi) kde: fhcd je příspěvek specifického vnitřního rizika k CDF (FDF) fhl i je frekvence výskytu specifického vnitřního rizika na pracovišti JE ‘i’ CCDPi (CFDPi) je podmíněná CDP (FDP) pro pracoviště JE ‘i’ odhadnutá pomocí PSA modelu pro interní IU, který je upraven za pomoci konzervativních předpokladů v souladu s dopady vnitřního rizika na pracoviště JE ‘i’.

Analýza vlivu vnitřního rizika na JE musí uvažovat dopady selhání komponent způso- beného tímto rizikem na IU obsažené v PSA a na související zmírňující bezpečnostní funkce. Za účelem snížení přílišného konservativismu vedoucího k nadhodnocení rizika spojeného s vnitřními riziky je třeba provést podrobnou analýzu založenou na fyzikál- ních studiích (tj. simulacích požárních scénářů nebo scénářů šíření záplav).

Potenciální selhání ochranných prvků jako jsou bariéry nebo fyzické oddělení, které může vést k rozšíření poškození projevem daného rizika do dalších pracovišť JE, musí být analyzováno pomocí prostředků speciální podrobné analýzy dopadů vnitřních rizik.

Základní informace o vlastnostech daného pracoviště uvnitř JE důležitých z pohledu efektů a následků projevů vnitřního rizika i o celé JE je vhodné získat z dostupných schémat a/nebo z databází údajů. Pro současnou provozovanou JE by měly být tyto in- formace pro účely analýzy verifikovány a doplněny pomocí obhlídek zařízení provede- ných na místě.

Jelikož informace získané v rámci obhlídek zařízení JE na místě mohou představovat významný zdroj podkladů pro vypracování PSA 1.úrovně pro vnitřní rizika, musejí být tyto obhlídky dobře naplánovány, organizovány a důkladně zdokumentovány.

Obhlídky zařízení JE na místě je nejlépe provádět na počátku procesu vývoje PSA pro vnitřní rizika, ovšem některé činnosti (tj. podrobné analýzy vybraných rizik) si mohou později vyžádat další obhlídky věnované konkrétním aspektům analýzy.

Výsledná CDF (FDF) odpovídající danému vnitřnímu riziku bude spojením rizikového potenciálu odpovídajícího těm selháním bezpečnostně významných komponent, které byly vyvolány tímto rizikem a „běžného“ rizikového potenciálu vycházejícího z nezá- vislých selhání uvažovaných v PSA modelu pro interní události.

Analýzy vnitřních požárů Obecné aspekty

Požární PSA 1. úrovně tematicky spadá mezi analýzy vnitřních rizik a je pravděpodob- nostní analýzou požárních událostí, které se mohou vyskytnout uvnitř areálu JE a jejich potenciálního vlivu na jadernou bezpečnost, radiační ochranu, monitorování radiační si- tuace a zvládání radiační mimořádné události. Při používání pravděpodobnostního mo- delu se při této analýze musí brát v úvahu následující: a)možnost vzniku požáru na kterémkoli místě JE, včetně rozvahy ohledně možnosti jeho rozvinutí v radiační mimořádnou událost b)potenciální možnost šíření požáru do dalších míst, c)detekce požáru, potlačování požáru a ohraničení požáru, d)možnost poškození zařízení JE v důsledku spuštění zařízení pro potlačení požáru (na- příklad sprchování a záplava vyvolaná systémy hašení může poškodit zařízení, které by jinak vydrželo požár, nebo mohou být změněny způsoby poruch takového zařízení a jeho vnímavost k nim), e)vlivy požáru na jednotlivé části zařízení (komponenty, stejně jako s nimi související SKŘ a kabeláž), včetně nových způsobů poruch, které mohou nastat následkem faleš- ných zapracování zařízení v důsledku zkratů, f)možnost poškození takového zařízení požárem a v případě vážných požárů i narušení integrity konstrukcí JE (zdí, stropů, sloupů, nosníků střech, atd.), g)vliv náhodných selhání zařízení a lidských chyb bez vazby na specifika požáru, h)vlivy požáru na lidské zásahy, a to jak přímo související s požárním scénářem (napří- klad potřeba evakuovat blokovou dozornu), tak nepřímé (například zavádějící infor- mace způsobené falešnými indikacemi).

Fyzická separace redundantních tras bezpečnostně významných zařízení (požární barié- ry mezi nimi) může limitovat rozsah poškození zařízení požárem. Kvantifikace příspěv- ku požáru k CDF (FDF) pomocí modelu požární PSA 1.úrovně budou proto obecně za- hrnovat i pravděpodobnosti náhodných poruch zařízení nezasaženého požárem a prav- děpodobnost, že se zařízení bude testovat nebo se na něm bude provádět údržba.

V požární PSA 1. úrovně musí být uvažován i vliv kouře jako doprovodného efektu po- žáru, a to z následujících hledisek:

• kouř může způsobit selhání elektronických přístrojů,
• pravděpodobnost lidských selhání může být vyšší v důsledku kouře, který může
být toxický nebo pouze zhoršovat pracovní podmínky (velké horko),
• přítomnost kouře si může vynutit evakuaci blokové dozorny, případně (v pozděj-
ších fázích rozvoje havarijních podmínek) též záložního pracoviště pro ovládání JZ („nouzová dozorna“), havarijního řídícího střediska nebo technického podpůr- ného střediska.

V rámci požární PSA 1. úrovně pro nízkovýkonové stavy a odstávku musejí být zvažo- vány následující aspekty: a)specifika metodiky PSA 1.úrovně pro interní IU pro nízkovýkonové stavy a odstávku, jak jsou uvedena v kapitole 3.4.7 Návodu (oproti podmínkám typickým pro provoz bloku na výkonu), b)vyřazování jednotlivých požárních scénářů musí být prováděno separátně, přičemž je třeba věnovat pozornost větším požárním zatížením a vyššímu počtu potenciálně zá- palných zdrojů, zejména dočasně umístěným hořlavinám souvisejícím s prováděním údržby během nízkovýkonových stavů a odstávek, c)dostupnost prostředků požární ochrany může být jiná než při provozu na výkonu, d)potenciální cesty pro další šíření požáru (například některé dveře mohou být otevřené během odstávky), e)vyšší obsazenost různých míst na JE během odstávky může zvýšit schopnost detekovat požár, f)provozní a konfigurační změny na JE při odstávce související s požáry, které jsou im- plementovány pro kontrolu hořlavin a které jsou prováděny jako kompenzační opatře- ní při odstavení systémů a komponent.

Deterministická analýza požárních rizik se provádí v rámci vytváření projektu (viz [G15]). Z projektu i z provozu JE (viz [G17]) vyplynou důležité vstupy do požární PSA 1.úrovně, například seznam bezpečnostně důležitých komponent a kabelů včetně jejich umístění. Rozdělení JE na požární úseky musí brát v potaz funkční analýzy, jakož i po- drobné analýzy vlivu požárů prováděných v rámci projektování prostředků požární ochrany.

Přístup k provedení požární PSA 1. úrovně musí být založen na systematické požární analýze všech pracovišť uvnitř dané JE. Pro usnadnění tohoto zkoumání musí být JE rozdělena na jasně oddělené jednotky (požární úseky), které se prozkoumávají individu- álně. Na počátku analýzy může být užitečné využít pro volbu těchto pracovišť rozdělení JE provedené v projektu.

Při definování požárních úseků pro účely provedení požární PSA může analytik uplatnit určitou flexibilitu, kdy například může spojit několik zavedených požárních úseků do jednoho úseku, pokud to usnadní proces vyřazování požárních scénářů (je podrobně popsán v dalším textu tohoto Návodu). Rozdělení JE do velkého počtu malých úseků nemusí být pro účely analýzy požárního rizika nutné, zejména na počátku realizace PSA. Kritéria pro stanovení požárních úseků však musejí být zdůvodněna a zdokumen- tována.

Pro účely tohoto Návodu se požární scénář definuje pomocí pojmů „zdroj iniciace požá- ru“ a „rozsah poškození požárem uvnitř požárního úseku“. Frekvence IU související s konkrétním požárním scénářem závisí na frekvenci vzniku požáru a na pravděpodob- nosti potlačení tohoto požáru. Proces tvorby požární PSA 1.úrovně obsahuje kroky uvedené v odst. (3.238) – (3.282). Sběr dat

Analytik se musí soustředit na sběr specifických dat potřebných pro modelování rizika vnitřních požárů. Rovněž některá data použitá v PSA 1.úrovně pro interní IU musejí být přehodnocena z důvodů zahrnutí specifických podmínek způsobených vznikem požáru.

Specifická data se vztahem k požárnímu riziku pro danou JE obsahují:

• Specifikace kabelových tras na JE včetně kabelových kanálů, kabelovodů, kabelo-
vých lávek a přepážek,
• fyzikální charakteristiky požárních úseků a jejich inventáře, viz odst. (3.241),
• údaje o požárních událostech z provozní historie dané elektrárny i příbuzných
elektráren,
• informace o potenciálních zdrojích iniciace požáru specifických pro jednotlivé po-
žární úseky (selhání komponent, které by mohlo vyvolat požár, prchavé hořlaviny, apod.),
• podklady pro stanovení spolehlivosti detekce požáru a spolehlivosti prostředků pro
potlačení požáru,
• lidské zásahy při výskytu požáru a pravděpodobnosti lidských selhání,
• dostupnost a způsobilost požárního útvaru,
• charakteristiky systémů pro potlačení požárů (například časování spuštění systé-
mu, prostředky pro potlačení požáru, které mohou zapříčinit poškození zařízení nebo zabránit vstupu personálu do požárního úseku),
• způsoby poruch zařízení vyvolané požárem a kritéria pro poškození požárem.

Z důvodu značného objemu potřebných informací pro požární PSA 1. úrovně (bohatá struktura informací pro velké množství klasifikovaných objektů) je vhodné tato data spravovat ve formě databáze. Analýzy požárních úseků

Pro účely požární PSA musejí být všechny budovy a konstrukce zahrnuté do analýzy rozčleněny do jasně odlišených požárních úseků, které budou analyzovány samostatně. Požární úseky jsou charakterizovány zejména:

• fyzickými hranicemi (zdi, dveře, komínové klapky, průchodky, atd.),
• prvky požární ochrany,
• požární odolností bariér obklopujících daný požární úsek,
• komponentami a kabely nacházejícími se uvnitř daného požárního úseku,
• sousedními požárními úseky a jejich propojeními,
• ventilačními trasami (potrubí), které mohou propojovat daný požární úsek
s dalšími úseky, které s ním přímo nesousedí,
• požárním zatížením (například typ, množství, zda je chráněno nebo nechráněno,
umístění, místní rozložení, zda je trvalé nebo dočasné),
• potenciálními zápalnými zdroji (například typ, množství, umístění),
• vnitřními předpisy pro kontrolu hořlavého materiálu,
• možností detekce požáru personálem,
• přístupností místa (například pro požární útvar).

- (3.243), (3.264),

Stanovení frekvence vzniku požáru v daném požárním úseku je důležitou součástí po- žární PSA 1.úrovně a provádí se buď před, nebo na začátku vyřazování jednotlivých požárních úseků na základě kvantitativních kritérií s cílem stanovit nejdůležitější požár- ní úseky, které budou předmětem další analýzy. Frekvence vzniku požáru související se zápalnými zdroji se stanoví s využitím doporučení uvedených v kapitole 3.4.3 Návodu, za maximálního možného uplatnění údajů specifických pro danou JE. Pokud není dosta- tek specifických dat, je možno pro stanovení frekvence vzniku požáru využít společně s dostupnými specifickými daty rovněž data generická, která budou adaptována s ohledem na aktuální zápalné zdroje (včetně zdrojů, které vznikají následkem prací s otevřeným ohněm) a množství hořlavých materiálů trvale či dočasně umístěných v daném požárním úseku. Výběr zařízení pro požární PSA 1.úrovně

Na podkladě posouzení komponent JE uvažovaných v PSA 1. úrovně pro interní IU je sestaven seznam zařízení, které bude modelováno v požární PSA. Uvedený seznam mu- sí obsahovat zařízení, jehož selhání následkem požáru: a)může vést k IU, b)může ovlivnit způsobilost bezpečnostních funkcí zmírnit následky IU (prvosledové bezpečnostní, případně provozní systémy a podpůrné systémy) a převést JE do bez- pečného klidového stavu, c)může ovlivnit akce operátora po vzniku IU vyvolané požárem (typ C lidských zásahů) oproti stavu, kdy tyto akce provádí operátor bez účinku požáru, d)může vést k falešnému zapracování funkcí, které mohou způsobit další nebezpečné stavy na JE potenciálně vedoucí ke ztrátě plnění bezpečnostních funkcí a poškození paliva reaktoru, ať už za provozu bloku nebo při odstávce.

Zmíněná selhání mohou vzniknout následkem výpadku silového či ovládacího napětí pro uvažované komponenty nebo v důsledku jiného poškození těchto komponent, anebo ze zkratů vedoucích k falešnému zapracování či k chybnému výstupu z instrumentace monitorování stavu JE a alarmů. Hloubka analýzy falešného zapracování zařízení musí být přizpůsobena záběru PSA a může zahrnout zařízení nebo způsoby jeho selhání, které obvykle nejsou v PSA 1.úrovně uvažovány.

Musí být identifikovány komponenty a všechny související prvky modelu důležité pro požární PSA 1.úrovně. Podklady pro vyloučení nebo zahrnutí způsobů poruch kompo- nent do PSA modelu pro vnitřní požáry musejí být systematicky přezkoumány s cílem zjistit validitu předpokladů učiněných v souvislosti se selháními způsobenými požárem, a pokud to je nutné, je třeba rozšířit model pro vnitřní požární IU. Integrální součástí to- hoto přezkoumávání musí být rovněž identifikace a analýza všech kabelů a obvodů sou- visejících s komponentami specifikovanými v odst. (3.244 – (3.245) a vlivu požární události na tyto kabely a na komponenty, jejichž funkce je s nimi spojena. Rovněž musejí být uvažovány dopady potenciálního poškození neelektrických obvodů požárem, jako například linií ovládacího vzduchu.

Pro případy, kdy nebyl přijat předpoklad, že zařízení v celém požárním úseku je při ini- ciaci požáru v něm kompletně ztraceno, platí, že pro každý požární úsek musí být sesta- ven seznam zařízení majícího význam pro scénáře modelované v PSA 1.úrovně. V pozdějších fázích podrobné analýzy pak bude někdy třeba stanovit přesněji rozmístění tohoto zařízení uvnitř daného požárního úseku. Vyřazování požárních scénářů dle ovlivnění zařízení

Vyřazování požárních scénářů z další analýzy na základě toho, jak mohou ovlivnit zaří- zení JE, je způsobem vyřazení nevýznamných požárních scénářů při uplatnění kvalita- tivních kritérií. Proces vyřazování začíná stanovením kritických požárních úseků a pra- covišť, načež se při uplatnění pesimistických předpokladů stanoví požární scénáře, a to jak v jednom požárním úseku, tak i takové, které zohledňují možnost rozšíření požáru do více úseků.

Pokud se provádí vyřazování požárních scénářů podle jejich vlivu na zařízení, musí být založeno minimálně na následujících kritériích nebo na jejich kombinaci; požární úsek je možno vyloučit na podkladě zanedbatelného vlivu na jadernou bezpečnost, pokud: a)hodnota požárního zatížení na jednotku plochy je pod stanovenou prahovou hodnotou kritéria přijatelnosti NEBO b)platí všechny následující podmínky: i)daný požární úsek neobsahuje žádné zařízení, jehož selhání může vyvolat IU nebo vyžadovat ruční odstavení bloku A ii) žádné bezpečnostně významné systémy (tj. systémy potřebné pro bezpečné od- stavení bloku) ani jejich kabely nebo podpůrné systémy nejsou umístěny v daném požárním úseku A iii) potenciál pro šíření vlivů požáru do jiných požárních úseků obsahujících bez- pečnostně významná zařízení je zanedbatelný.

Pro účely vyřazování jednotlivých požárních scénářů se předpokládá, že všechny kom- ponenty a kabely vystavené požáru v daném požárním úseku selžou, tj. obvykle se při- jímají pesimistické předpoklady, že prvky detekce a hašení požáru jsou buď nedostateč- ně efektivní, nebo neprovozuschopné. Ostatní ochranná opatření, jako požární kryty, protipožární nátěry nebo pouzdra nejsou obvykle brány v úvahu.

Při vyřazování požárních úseků na základě ovlivnění zařízení se rovněž zohledňují po- žární scénáře, při nichž může být na podkladě konzervativních předpokladů o šíření po- žáru zasaženo více požárních úseků současně. Pro každý požární úsek se definuje sou- bor úseků, do nichž by se mohl případný požár rozšířit (patří mezi ně všechny sousedící požární úseky, jakož i další úseky, které jsou propojeny společnou ventilací s daným požárním úsekem). Aby bylo možno omezit počet kombinací požárních úseků, které se mají uvažovat, musejí být přijaty obecné předpoklady, týkající se spolehlivosti a efekti- vity prvků požárních bariér (například současně se vyskytující nezávislá selhání bariér lze považovat za velmi nepravděpodobná).

V analýzách musejí být uvažovány i požáry, které se mohou rozšířit z vnějšku budov JE do požárních úseků uvnitř budov (například potenciální rozšíření požáru venkovního transformátoru do strojovny).

V areálu, kde je umístěno více jaderných bloků, nebo obecněji JZ, je třeba zahrnout do analýz i možnost rozšíření požáru z jednoho bloku do požárních úseků druhého bloku. Rovněž musí být uvažována možnost vzniku požáru ve společných prostorách se zaří- zením sdíleným více bloky (například dieselgenerátory, rozvodny, apod.). Pokud v blízkosti analyzovaného JZ, které je umístěno v daném areálu, existuje jiné JZ, umís- těné v druhém areálu, je třeba zkoumat i možnost, že dojde k rozšíření požáru z tohoto druhého areálu. Vyřazování požárních scénářů dle velikosti příspěvku k CDF (FDF) Integrace vnitřních požárů do PSA modelu pro interní IU

Vyřazování požárních úseků dle velikosti jejich příspěvku k CDF (FDF) na základě kvantitativního kritéria je zaměřeno na vyloučení z analýzy dalších požárních úseků ne- bo komplexů více úseků zasažených stejným požárem z těch, které zbyly po prvním vy- řazování prováděném na základě vlivu požárů na zařízení JE.

V tomto kroku se napočte příspěvek požárů k CDF (FDF) pomocí PSA modelu vytvo- řeného na základě již existujícího PSA modelu pro interní IU, jenž lze použít k výpočtu CCDP (CFDP) pro specifické požární scénáře. Pro tuto etapu vyřazování musejí být při- jaty konzervativní předpoklady pro stanovení frekvencí výskytu požárních scénářů a i pro související podmíněné nedostupnosti požadovaných bezpečnostních funkcí násled- kem požáru týkající se rozvoje a šíření požárů, vlivů požárů na zařízení a souvisejících lidských zásahů (tj. akcí zaměřených na snížení následků požárů). Opět platí, že všech- no zařízení nacházející se uvnitř uvažovaného požárního úseku se považuje za vyřazené a prostředky detekce a hašení požárů za nevěrohodné.

Na základě uvedených předpokladů je upraven PSA model pro interní IU pro každý jednotlivý požární úsek za účelem zmapování vlivů požáru uvnitř něj a na související IU a způsoby poruch zařízení. To umožní napočíst CCDP (CFDP) pro všechny jednotlivé požární úseky s konzervativně ošetřenými předpoklady analýzy, z nichž je možno dále spočíst celkový příspěvek požárů k CDF (FDF) za pomoci vzorce uvedeného v odst.

.

Při stanovování příspěvku požáru k CDF (FDF) nebo při výpočtu CCDP (CFDP) musejí být zrevidovány pravděpodobnosti lidských selhání odvozené pro PSA 1.úrovně pro in- terní IU, s uvážením odchylek podmínek práce obsluhy od scénářů pokrytých EOP, zejména na blokové dozorně, a s využitím specifických procedur pro zmírnění následků požárů. Rozdíly od předpokladů použitých při analýze lidského faktoru v PSA 1.úrovně pro interní IU musejí být zdůvodněny a zdokumentovány. V úvahu se musejí brát speci- fické vlivy požárů, jako například dodatečný stres, potenciální existence vzájemně si odporujících signálů, kouř, výpadek osvětlení, problémy s dostupností oblasti zasažené požárem a další.

Musí být prověřena proveditelnost lidských akcí zaměřených na nápravu situace (re- covery), které jsou pokládány za možné v PSA 1.úrovně pro interní IU (nápravné akce v místnosti zasažené požárem). Kvantifikace příspěvku požárů k CDF (FDF) pro účely vyřazování

- (3.263), (3.280),

Vyřazování dle kvantitativních kritérií musí být založeno na konzervativně stanovené CCDP (CFDP) nebo na absolutním příspěvku požáru k CDF (CDP). Pokud je vyřazo- vání založeno na příspěvku k CDF (CDP), vyřazuje se konkrétní požární úsek tehdy, když je kumulativní příspěvek od všech vyřazených požárních úseků k CDF (FDF) nižší než stanovená absolutní hodnota CDF (FDF) nebo relativní hodnota jako stanovený po- díl CDF (FDF) pro interní IU.

Kritérium pro vyřazení konkrétního požárního úseku musí být nastaveno tak, aby umož- ňovalo vyřadit některé méně významné scénáře, ale zároveň tak, aby nebyly eliminová- ny rizikově významné požární scénáře.

Při vyřazování na základě hodnoty příspěvku požáru k CDF (FDF) se rovněž musí uvá- žit frekvence poškození více úseků jedním požárem současně (jako součin frekvence vzniku požáru v jednom úseku a podmíněné pravděpodobnosti rozšíření požáru do dal- ších úseků).

Finálním výsledkem vyřazovacího procesu (jak na základě ovlivnění zařízení, tak dle příspěvku k CDF /FDF/) je seznam požárních scénářů přiřazených k jednotlivým požár- ním úsekům, které reprezentují nezanedbatelné přispěvatele k riziku. Pro každý nevyřa- zený požární scénář je následně vytvořen kvalitativní a kvantitativní PSA model. Podrobná analýza požárů Analýza požárních scénářů

Při podrobné analýze požárů je snížena úroveň konservativismu přibližné analýzy pro- váděné během vyřazovacího procesu. Analýza zahrnuje vliv požárních bariér uvnitř po- žárního úseku a dalších prostředků požární ochrany, umístění bezpečnostně významné- ho a požárně významného zařízení v požárním úseku a rozvoj a šíření požáru. Uvažují a hodnotí se všechny vlivy požáru, včetně plamenů, oblaků kouře, tryskání paliva, sálavé- ho tepla z horkých plynů, vysokoenergetického spalování a dýmu. Podkladem pro ana- lýzu je obhlídka zařízení JE na místě. Součástí analýzy požáru je identifikace a modelo- vání všech tras šíření požáru (ventilace, kabelové kanály, selhavší požární bariéry, apod.).

Při analýze se používají realističtější modely pro hodnocení lidských zásahů, jejichž cí- lem je snížit pravděpodobnost poškození zařízení, omezit rozvoj a šíření požáru, snížit vlivy požáru na zařízení a kabely, atd. Hodnotí se vlivy požáru a možného rozšíření kouře a toxických plynů na lidské akce. Řeší se dostupnost zařízení pro akce obsluhy (přetlak způsobený požárem může bránit otevření dveří, čímž zabrání přístupu do míst, odkud je možno zmírnit následky požáru).

Volba specifických podpůrných nástrojů pro modelování a analýzy vývoje a šíření požá- rů (například software pro simulace požárů) musí být zdůvodněna a zdokumentována. Tyto prostředky musejí rovněž splňovat požadavek zákona č. 263/2016 Sb., atomový zákon, § 29, odst. 3, písm. a)[P5]; požadavky na zvláštní procesy jsou pak dále rozpra- covány ve vyhlášce č. 408/2016 Sb., o požadavcích na systém řízení, § 5 [P7].

Analyzované a modelované požární scénáře musejí vycházet z očekávaného časového průběhu požáru vzniklého v konkrétním požárním úseku a zahrnuje následná selhání komponent a kabelů. Požární scénář je v PSA modelu pro vnitřní požáry zastoupen na- příklad stromem událostí, který popisuje šíření požáru a odráží ve své logice všechny důležité bezpečnostně orientované prvky provozu JE ovlivněné rozvojem požáru (pro- jekt i kvalita požárních bariér, model vývoje a šíření požárů, kritéria pro rizikové poško- zení komponent včetně kabelů, prvky sloužící pro požární ochranu a potlačení požárů). Relevantní doporučení uvedená v kapitole 3.4.3 Návodu musejí být aplikována i při rozvoji stromů událostí pro šíření požárů.

Pro analyzované požární scénáře musí být zhodnocena spolehlivost lidských zásahů i komponent systémů sloužících k detekci a potlačení požárů na základě metodických do- poručení z kapitoly 3.4.3 Návodu platných pro PSA 1.úrovně pro interní IU při provozu na výkonu.

Pro požární úseky uvažované v podrobné požární analýze musejí být hodnoty frekvencí výskytu požárního scénáře podloženy údaji specifickými pro daný požární úsek, jako například informacemi o nestálých zápalných zdrojích, hořlavosti, přítomnosti a úrovni požárního zatížení, atd. Pro jednotlivé požární scénáře musí být řádně doložena účinnost a doba odezvy automatických a manuálních možností detekce a potlačení požáru a všechny údaje, které jsou podkladem pro odvození specifické pravděpodobnosti nepo- tlačení požáru. Analýza požáru blokové dozorny

Model PSA 1. úrovně pro vnitřní požár na blokové dozorně zahrnuje důležité specifické prvky související s místem jeho vzniku, jako například všeobecný vliv požáru blokové dozorny na všechny bezpečnostně významné systémy, potenciál pro falešná zapůsobení automatik a ovlivnění činností operátora například těmito faktory:

• vliv požáru a kouře na kvalitu informace o stavu JE a dostupnost instrumentace a
souvisejícího zařízení,
• dostupnost důležitých prvků pro detekci požáru a jeho potlačení, včetně potenciál-
ního nepříznivého vlivu zaplavení při hašení požáru,
• použití alternativního místa pro bezpečné odstavení (přesun do nouzové dozorny)
beroucí v úvahu aspekty dostupnosti a další možná omezení,
• vliv rozšíření kouře a toxických plynů na fyzický stav obsluhy.

Součástí analýzy je možnost rozšíření požáru uvnitř skříní s komponentami systémů kontroly a řízení, včetně přítomnosti fyzických bariér a prostorové separace redundant- ních komponent. Analýza požárů v místnostech obsahujících elektrická zařízení

Místnosti, v nichž je koncentrováno elektrické zařízení, důležité spínače, procházející kabely, řídicí systémy apod. jsou přirozenými centry kumulace důležitých prvků odezvy JE na požár a navazující iniciační události. Takové místnosti a jim odpovídající požární úseky mohou obsahovat elektrická zařízení a kabely příslušející k více než jedné linii bezpečnostního systému a představovat tak relativně významný zdroj požárního rizika.

Místnosti s elektrickým zařízením generují vyšší pravděpodobnost jednotlivých nebo násobných falešných zapůsobení komponent, protože v nich mohou nastat četné elek- trické zkraty způsobené požárem. Pro odhad potenciálu falešných zapůsobení elektric- kých komponent musejí být identifikována možná selhání obvodů způsobená požárem a odhadnuty související podmíněné pravděpodobnosti. Analýza požárů rozšířených do více požárních úseků

Analýza požárů rozšířených do více požárních úseků se v první fázi zaměřuje na identi- fikaci rizikově významných požárních scénářů, které mohou zasáhnout více než jeden požární úsek rozšířením z jednoho požárního úseku, kde byl požár iniciován, do jednoho nebo více dalších požárních úseků přes narušení společných bariér nebo ventilačním po- trubím. V porovnání s analýzou prováděnou v rámci vyřazování je podrobná analýza za- ložena na analytickém modelu rozvoje a šíření požáru a modelu potlačení a eliminace požáru.

Podobně jako analogická analýza pro jeden požární úsek musí i podrobná analýza požá- rů rozšířených do více požárních úseků uvažovat při modelování rozvoje požáru a ana- lýze následků intenzitu šíření požáru, šíření produktů spalování a/nebo přenos tepla do sousedních nebo propojených požárních úseků. Analýza kombinovaných rizik

Potenciál pro výskyt následných projevů dalších vnitřních rizik v důsledku požáru (na- příklad záplavy způsobené hasicím zařízením, výbuchu nebezpečných látek způsobené- ho požárem, sekundární požáry způsobené explozemi, apod.) je rovněž součástí analýz v rámci požární PSA 1.úrovně.

tohoto Návodu. Kvantifikace rizika způsobeného vnitřními záplavami

Další rizika indukovaná vnitřními požáry mají (podobně jako samotný požár a jeho pro- dukty) výrazně negativní vliv na podmínky práce obsluhy JE a je nutné je proto brát v úvahu při analýze požárního rizika. Jedná se především o následující vlivy: a)dostupnost zařízení v místech, které je zasaženo požárem a v jeho okolí, b)další potenciální nárůst úrovně stresu, c)další selhání indikací a falešné signály, d)ostatní vlivy následků požáru a indukovaných rizik na chování obsluhy. Kvantifikace rizika způsobeného vnitřními požáry

Specifický PSA model vytvořený pro podrobnou analýzu požárů obsahující například model požáru blokové dozorny, modely pro ocenění vlivu falešného zapůsobení jedné nebo více komponent vyvolaného požárem, atd. musí být zahrnut do kompletního mo- delu PSA 1.Úrovně tak, aby se stal jeho nedílnou součástí. To znamená, že musí být adekvátně ošetřeny všechny návaznosti a spojení mezi modelem vnitřních událostí a sdruženým modelem všech scénářů vnitřních požárů.

Finální kvantifikace příspěvku vnitřních požárů k CDF (FDF) musí být provedena pro iniciační události zastupující požáry ve všech požárních úsecích, které nebyly vyřazeny z dalších podrobných analýz v rámci kvalitativní i kvantitativní složky eliminace. Model použitý pro kvantitativní vyřazení požárních úseků na základě frekvence vzniku přísluš- ného požáru i výsledky jeho kvantifikace jsou nedílnou součástí PSA modelu pro po- žární IU. Výsledky PSA 1.úrovně pro požární IU jsou interpretovány pomocí identifi- kace hlavních přispěvatelů k CDF (FDF) pro vybrané kategorie modelu PSA, například požární úseky, požární scénáře, lidské zásahy, komponenty, systémy. Předpoklady mají- cí vztah k vyřazování požárů z podrobných analýz musejí být v závěrečné fázi analýzy prověřeny i s cílem zvážit, zda přispěvatelé k CDF (FDF), kteří byli na jejich podkladě vyřazeni, nemají být nakonec zařazeni zpět a připojeni do PSA modelu.

Kvantifikace PSA modelu pro vnitřní požáry, analýza neurčitostí a citlivostní analýzy jsou prováděny dle doporučení uvedených v kapitole 3.4.3.10 tohoto Návodu. Musejí být provedeny citlivostní studie a analýzy importančních měr s cílem identifikovat prv- ky PSA 1.úrovně pro vnitřní požáry, které jsou významné z hlediska rizika. Dokumentace PSA 1.úrovně pro vnitřní požáry

PSA 1. úrovně pro vnitřní požáry musí být zdokumentována, viz požadavky vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 12 [P6], a to způsobem, který usnadní kontrolu, aplikace a aktualizace PSA. Dokumentace musí obsahovat následující informace:

• popis celkového přístupu a hlavních prvků požární ochrany specifických pro da-
nou JE, včetně pasivních i aktivních zařízení sloužících přímo potřebám požární ochrany,
• rozdělení JE do požárních úseků,
• popis specifických metod a dat použitých při hodnocení vnitřních požárů,
• specifické změny provedené v PSA modelu 1. úrovně pro interní IU zaměřené na
zahrnutí vlivu vnitřních požárů,
• podrobnou charakteristiku požárních úseků,
• odůvodnění vyřazení vybraných požárních úseků z dalších analýz,
• výsledky analýz jednotlivých požárních scénářů, například požáru blokové dozor-
ny, požáru místností obsahujících elektrická zařízení, požárů rozšířených do více požárních úseků, rizik indukovaných požárem a kombinovaných rizik, atd.,
• hlavní závěrečné výsledky PSA 1. úrovně pro vnitřní požáry, tj. CDF (FDF) a vy-
brané dílčí výsledky, kvalitativní nálezy a doporučení,
• speciální zprávu o průběhu a výsledcích obhlídek zařízení JE provedených na mís-
tě, jejichž smyslem bylo získat či verifikovat informace potřebné pro provedení požární PSA.

Analýza vnitřních záplav Obecné aspekty

PSA 1. úrovně pro vnitřní záplavy je pravděpodobnostní analýza událostí souvisejících s rozsáhlými úniky kapalin (nejčastěji vody), které mohou nastat uvnitř budov JE, a po- tenciálního vlivu takových úniků na jadernou bezpečnost, radiační ochranu, monitoro- vání radiační situace a zvládání radiační mimořádné události. Proces rozvoje analýz to- hoto typu obvykle probíhá postupem uvedeným v odst. (3.284) – (3.310). Sběr dat a hodnocení potenciálu vnitřních záplav

Na provozovaných JE musí být v rámci realizace rizikové analýzy vnitřních záplav pro- vedena obhlídka zařízení na místě specificky zaměřená na problematiku záplav, jejímž smyslem je verifikovat přesnost informací získaných z nákresů, schémat, vnitřních předpisů a ostatních zdrojů informací a obdržet potřebné údaje o možnostech vzájemné- ho ovlivňování v prostoru pro každý jednotlivý zdroj vnitřní záplavy.

Možné vnitřní záplavy musejí být identifikovány, popsány a dále charakterizovány (viz [G16]) již v projektu JE, včetně následujících aspektů: a)možné zdroje a trasy záplav: potrubí, nádrže umístěné uvnitř budov, bazény, armatury, tepelné výměníky, napojení na venkovní zdroje vody (jezero, řeka), na systémy či konstrukce sdílené více bloky, atd., b)možné mechanismy vzniku záplav: prasknutí, úniky, roztržení, přeplnění, falešné nebo vyžádané spuštění sprchovacího systému (například sprchového systému kontejnmen- tu nebo hasicího zařízení) nebo lidské selhání za provozu nebo během činností souvi- sejících s údržbou zařízení (například chybná pozice či nezáměrné otevření armatury), c)bližší charakteristiky záplav: objem potenciální záplavy (v závislosti na tom, zda zdro- jem záplavy je uzavřený nebo otevřený systém), průtok, rychlost a načasování zápla- vy, teplota a tlak zaplavujícího média, možnost produkce páry, mechanické účinky zá- plavy, d)činnost alarmů souvisejících se záplavou, systém detekce úniků, kapacita drenáží, prvky ochrany komponent před zaplavením (jako například signál na odstavení zaří- zení z provozu), e)kritická výška zaplavení komponent relevantních pro PSA a potenciál a časová okna pro její dosažení, rozměry místností (včetně objektů lokálních dozoren a pracovišť, včetně havarijního řídicího střediska a technického podpůrného střediska) v potenciálně zatopených částech JE.

Při identifikaci potenciálních záplav musí být věnována zvláštní pozornost podmínkám odstávky, kdy jsou často ručně přestavovány trasy systémů a potenciál pro vznik zápla- vy selháním obsluhy je vyšší.

Musejí být zjištěna všechna bezpečnostně významná pracoviště v rámci JE, která mohou být zasažena vnitřními záplavami a trasy možného dalšího šíření vody. Speciální pozor- nost je třeba věnovat pozornost aspektům signalizujícím možnost ovlivnění více bloků současně. Rovněž musí být brána v úvahu potenciální možnost selhání bariér v důsledku mechanického účinku nahromadění většího množství vody.

JE musí být v úvodní části analýzy rizika záplav rozdělena na fyzicky oddělená praco- viště, kde každé z těchto pracovišť je zcela nezávislé na ostatních z hlediska potenciál- ního vlivu záplavy na zařízení i z hlediska jejího dalšího šíření.

Frekvence vzniku vnitřních záplav musí být vyčíslena ve smyslu doporučení, která jsou uvedena v kapitole 3.4.3 tohoto Návodu. V maximální možné míře musejí být využívá- ny dostupné informace a data specifická pro danou JE. Pokud neexistují dostatečné zdroje specifické informace a dat, je možno využít data generická nebo dostatečně zdů- vodněný expertní odhad.

Hlavními vstupními informacemi při stanovení frekvence vzniku záplavy jsou odhady četností selhání potrubí a frekvence jeho ztráty integrity společně s příslušnými charak- teristikami neurčitostí. Musejí být podrobněji analyzována data potrubních systémů, kte- rá reprezentují závažné zdroje vnitřních záplav. Dále musejí být vyčísleny frekvence a závažnost záplav způsobených lidským faktorem s přihlédnutím k relevantním vnitřním předpisům JE a k zaznamenané provozní zkušenost specifické pro danou JE. Kompletování scénářů záplav

Pro každou vnitřní záplavu musejí být v dostatečně kompletní míře identifikovány bez- pečnostně významné systémy, konstrukce a komponenty, které by mohly být touto zá- plavou zasaženy. Za relevantní lze pokládat následující možnosti ovlivnění zařízení zá- plavou: a)zatopení, vlastní účinky vody na citlivé komponenty, b)účinky vysoké teploty (pro dané zařízení), c)tlakové účinky, d)sprchování, mechanické účinky, e)pára, účinky teploty a vlhkosti, f)mechanické účinky švihu potrubí, g)mechanické účinky tryskajícího média jako následek roztržení vysokoenergetického potrubí nebo spojů armatur.

Při uvažování komponent zasažených vnitřní záplavou a hodnocení potenciálu vodního zdroje pro způsobení záplavy konkrétních, někdy kritických pracovišť je nutné brát v úvahu vzájemné výškové umístění zařízení, bariér, dveří a drenáže.

Musí být zhodnocena možnost rozšíření záplavy z jednoho pracoviště do jiného, včetně uvažování selhání bariéry.

Musejí být brány v úvahu všechny možné cesty, jimiž by se mohla záplava rozšířit, na- příklad drenáže zařízení a možnost, že běžně uzavírané dveře nebo poklopy budou za- nechány otevřené. Musí být rovněž uvažována potenciální možnost ucpání drenáží, je- jímž důsledkem může být záplava v neočekávaném místě JE.

Součástí úvodní fáze detailní kvalitativní analýzy záplav je určení výškové kóty skříní a rozvaděčů bezpečnostně významných komponent i dalších citlivých zařízení s cílem ur- čit efekt zaplavení konkrétní místnosti.

Posouzení potenciálního vlivu zaplavení na provoz JE zahrnuje možnost vygenerování falešného signálu na start či změnu polohy komponenty nebo systému v důsledku zá- plavy, které může iniciovat vznik konkrétní havarijní sekvence, jež je subjektem další kvalitativní a/nebo kvantitativní analýzy. Vyřazování scénářů záplav dle ovlivnění zařízení

Podobně jako u dalších rizik se v časné fázi analýzy provádí vyřazování scénářů záplav se zanedbatelným vlivem na zařízení a riziko provozu. Kritické scénáře se vybírají na základě posouzení toho, jak potenciální záplavy jednotlivých částí JE ovlivní jadernou bezpečnost. Na podkladě následujících kvalitativních kritérií je možno vyloučit části JE z dalších analýz rizikových dopadů jejich potenciálního zaplavení: a)platí obě následující podmínky: i)vyloučená část JE neobsahuje žádné zařízení, jehož selhání může vyvolat IU A současně ii) žádné systémy potřebné pro bezpečné odstavení bloku ani jejich podpůrné systémy nejsou umístěny v místech vzniku záplavy ani v místech, kam se záplava může rozšířit ve vyloučené části JE NEBO b)část JE neobsahuje žádné potenciální zdroje záplav, které by postačovaly pro vyřaze- ní bezpečnostně významného zařízení ani se do nich nemůže rozšířit záplava z jiné části JE, která by takové zařízení mohla vyřadit. Vyřazování událostí dle velikosti příspěvku k CDF (FDF) Integrace vnitřních záplav do PSA modelu pro interní IU

Některé vnitřní záplavy je možno dále vyřadit z dalších analýz na podkladě velikosti je- jich příspěvku k CDF (FDF). Pro zhodnocení velikosti tohoto příspěvku musí být ade- kvátně upraven model PSA 1.úrovně pro interní IU, aby obsáhl fenomény související s vnitřními záplavami (jak modely systémů, tak lidských zásahů).

Jako součást vyřazování rizikově nevýznamných scénářů záplav musí být provedeno kompletně prověřena analýza lidského faktoru v PSA 1.úrovně pro interní IU pro danou JE. Faktory přímo ovlivňující kvalitu práce obsluhy musejí být analyzovány se zřetelem ke specifickým atributům záplav. Musí být přehodnoceny a upraveny pravděpodobnosti lidských selhání způsobem odrážejícím specifické postupy postulované pro zmírnění záplav. Přinejmenším se musejí zvážit následující efekty záplavy spojené s faktory pří- mo ovlivňujícími kvalitu práce obsluhy JE:

• dostupnost zařízení v místech, kde může být zaplaveno a/nebo vliv nepříznivých
podmínek prostředí vzniklých v důsledku záplavy na zařízení, včetně výskytu páry nebo efektu sprchování zařízení,
• potenciální nárůst úrovně stresu obsluhy v průběhu scénáře záplavy,
• selhání indikací a falešné signály vygenerované působením záplavy,
• další vlivy na chování operátora (zhoršené informace o stavu zařízení, výskyt neo-
čekávaných stavů, problémová komunikace s lokální obsluhou, apod.). Kvantifikace příspěvku záplav k CDF (FDF) pro účely vyřazování

Při kvantitativním vylučování scénářů záplav se uplatňuje konzervativní přístup, který předpokládá, že všechny komponenty v oblasti zasažené záplavou budou vyřazeny. Po- kud po uplatnění tohoto předpokladu nedojde k významnému nárůstu CDF (FDF), na- počteného například dle vzorce uvedeného v odst. (3.223), může být daná vnitřní zá- plava vyloučena z dalších analýz.

Pro účely postupu dle předchozího odstavce musejí být stanovena kvantitativní kritéria pro vyloučení vnitřních záplav dle hodnoty jejich příspěvku k CDF (FDF). Obvyklým přístupem určujícím charakter takových kritérií je, že kumulativní příspěvek od všech vyřazených scénářů vnitřních záplav k CDF (FDF) se nachází pod stanovenou hodno- tou.

Kritérium pro vyřazení konkrétních scénářů vnitřní záplavy musí být nastaveno na hod- notu dostatečně vysokou na to, aby umožňovala vyřadit objektivně méně významné scénáře, ale zároveň dostatečně nízkou na to, aby nebyly eliminovány rizikově význam- né scénáře vnitřních záplav. Podrobná analýza záplav Analýzy scénářů záplav

Podrobná analýza vnitřních záplav obsahuje následující prvky: a)výpočty s cílem určit časový průběh scénářů záplav (rychlost změny hladin v exponovaných místech JE), se zahrnutím efektu nápravných akcí, b)analýzu lidského faktoru pro lidské zásahy potřebné pro zmírnění efektů záplav v mo- delovaných havarijních sekvencích, c)rozvoj stromů událostí a stromů poruch pro určené havarijní scénáře (vycházejících zčásti z PSA 1.úrovně pro interní IU a doplněných o úplně nové modely v případě po- třeby), d)kvantifikace odpovídajících stromů událostí a stromů poruch pro zařízení, které selže v důsledku záplavy a analýza výsledků, včetně citlivostních studií, analýzy importancí a analýz neurčitosti.

Všechny IU potenciálně přispívající k riziku musejí být analyzovány mimo jiné z hlediska prostředků detekce záplavy a ovládání komponent určených k eliminaci nebo omezení záplavy. Prostředky detekce a ovládání pak musejí být uvažovány při stanovo- vání pravděpodobností událostí typu „nebude detekováno“ a „nebude provedena izola- ce“.

Scénáře záplav musejí popisovat časově závislý průběh záplavy mající původ v určité části JE a následná selhání komponent v důsledku šířící se záplavy. Scénáře záplav mo- hou být reprezentovány pomocí stromů událostí pro záplavy, v němž jsou modelovány všechny důležité prvky ovlivňující rozvoj záplavy (protizáplavové bariéry, detekce a izolace zdrojů záplav) a pravděpodobnosti selhání funkce komponent, na kterých je za- loženo zvládnutí scénáře záplavy. Je doporučena obhlídka zařízení JE zaměřená na pro- blematiku záplav, jejímž účelem je shromáždit informace sloužící k verifikaci podrobné analýzy rizika záplav.

Další lidské akce, které mohou být potřebné pro zmírnění rozvoje záplav, musejí být identifikovány, zařazeny do PSA modelu a oceněny s ohledem na pravděpodobnost je- jich úspěchu či selhání (například izolace záplavy a následné obnovení dodávky elek- trického proudu). Při analýze lidského činitele se musí brát v úvahu, podobně jako ve fázi vyřazování rizikově nevýznamných scénářů, možnost ztráty systémů kontroly a ří- zení, jakož i falešné signály, které mohou vznikat v důsledku záplavy. Analýzy kombinací rizik

Záplavy a poškození systémů, konstrukcí a komponent následkem roztržení vysoko- energetického potrubí modelovaného v rámci PSA 1.úrovně pro vnitřní události musejí být rovněž subjektem PSA pro vnitřní záplavy, pokud již nebyly řešeny v rámci PSA pro interní IU.

Zaplavení způsobené zapracováním systému hašení požárů, který vypouští velké množ- ství vody, je zpravidla řešeno v rámci požární PSA 1.úrovně, viz odst. (3.276) a

- (3.311), (3.325),

PSA 1. úrovně pro vnitřní záplavy musí být zdokumentováno, viz požadavky vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 12 [P6], a to způsobem, který usnadní kontrolu, aplikace a aktualizace PSA. Konkrétně musí dokumentace obsahovat následující informace:

• popis specifických metod a dat použitých při hodnocení vnitřních záplav,
• specifické změny provedené v PSA modelu 1. úrovně pro interní IU zaměřené na
zahrnutí vlivu vnitřních záplav,
• zdůvodnění oprávněnosti vyřazení konkrétních rizikově nevýznamných scénářů
záplav z dalších analýz,
• výsledky podrobné analýzy havarijních scénářů záplav, včetně jejich popisu a pod-
statných předpokladů uplatněných v analýze,
• hlavní závěrečné výsledky PSA 1. úrovně pro vnitřní záplavy, tj. CDF (FDF), kva-
litativní nálezy a doporučení,
• zpráva o metodice, průběhu a výsledcích obhlídek zařízení JE provedených na
místě.

Ostatní vnitřní rizika Analýza pádů břemen

PSA se obvykle soustředí na selhání chlazení jaderného paliva v AZ, případně v bazénu skladování. K poškození paliva může obecně dojít i jinými mechanismy, například v důsledku pádu těžkého břemene do reaktoru, do bazénu skladování, případně na zaří- zení systémů zajišťujících plnění kritických bezpečnostních funkcí. Potenciální možnost pádu těžkého břemene (například blok ochranných trub, víko reaktoru, koš AZ, stínící válec, kontejner na uskladnění vyhořelého paliva, betonové stínící bloky, apod.) musí tedy být analyzována s ohledem na jeho potenciál poškodit systémy, konstrukce či komponenty požadované pro zajištění kritických bezpečnostních funkcí nebo s ohledem na jeho potenciál přímo mechanicky poškodit palivové komplety.

Jestliže trasa, po které se provádí transport konkrétního těžkého břemene, není vedena nad palivem ani nad kritickým zařízením, je možno potenciální havarijní scénář tohoto druhu vyloučit. Pravděpodobnostní analýza musí ale brát v úvahu kromě reaktorového sálu rovněž další místa na JE, kde se manipuluje s těžkými břemeny. Například na ně- kterých JE se na strojovně nachází otevřený prostor, kde je umístěn systém dohlazování bloku, který může být ohrožen pádem transportovaného břemene.

Musí být vyčíslen příspěvek pádu těžkých břemen k celkové CDF (FDF), kromě přípa- dů, kdy je možno danou událost prokazatelně vyloučit na podkladě konzervativního od- hadu indikujícího zanedbatelnou úroveň rizika.

Model PSA 1. úrovně pro pády těžkých břemen musí být konzistentní s modelem vytvo- řeným pro interní IU, které mohou vzniknout během nízkovýkonových stavů a odstá- vek, případně též při provozu na výkonu, pokud se v tomto režimu provozu manipuluje s těžkými břemeny.

Při stanovení rozsahu modelu pádů těžkých břemen musejí být uvažována veškerá zve- dací zařízení na JE s potenciálními bezpečnostními dopady poruchy. Musejí být identi- fikována a podrobně prozkoumána všechna místa, kde by mohlo padající břemeno po- škodit zásahem bezpečnostně významné komponenty. Z uvedeného důvodu se požaduje jako součást analýzy provést obhlídku zařízení na místě.

Veškeré operace s břemeny musejí být identifikovány a analyzovány na základě proce- dur používaných při provozu a odstávce bloku.

Frekvence IU je třeba stanovit v souladu s doporučeními uvedenými v kapitolách 3.4.3 a

PSA 1. úrovně pro nízkovýkonové stavy a odstávku

Pro každou událost spojenou s pádem těžkého břemene na dané trase (na daný objekt s možností poškození) musí být přijat konzervativní předpoklad, že spadne maximální možný náklad, který je po odpovídající trase přepravován, nebo je třeba detailně analy- zovat charakter padajícího objektu a příčiny jeho pádu. Je třeba charakterizovat podrob- něji možný směr, rozměr, tvar a energie padajícího předmětu nebo střel vygenerovaných padajícím břemenem a posoudit vlivy pádu těžkého břemene na budovy a na zařízení JE.

Jako vstup do PSA 2. úrovně, musejí být pro každý konkrétní případ pádu břemene sta- noveny potenciální radiační důsledky, včetně možnosti vzniku radiační mimořádné udá- losti, a příspěvek k frekvenci příslušného PDS. Analýza vystřelení částí turbíny

Příspěvek rozpadu turbíny (například selhání rotoru turbíny) k CDF (FDF) musí být sta- noven v rámci PSA, kromě případů, kdy je možno danou událost vyloučit jako zanedba- telnou na podkladě zjednodušené konzervativní pravděpodobnostní analýzy. V záběru analýzy vystřelení částí turbíny je třeba rovněž uvažovat dopad následného požáru v důsledku vzplanutí vodíku nebo spalování oleje z olejového hospodářství na kompo- nenty relevantní z hlediska PSA.

Analýza rozpadu turbíny musí zahrnovat jak normální provozní rychlosti turbíny, tak rychlosti vyšší. Musí být stanoveno a pravděpodobnostně popsáno, jakým směrem mo- hou letět střely vzniklé rozpadem turbíny a vyhodnocena pravděpodobnost ovlivnění budov v závislosti na orientaci a umístění turbíny. Musí být stanovena následná pravdě- podobnost selhání bezpečnostně významného zařízení uvnitř budov, přičemž je třeba brát v úvahu podíl střel s dostatečnou kinetickou energií umožňující průnik pláštěm bu- dov a poškození zařízení.

Pravděpodobnosti selhání vyplývající z nárazu vystřeleného zařízení společně s náhodnými selháními bezpečnostně významného zařízení, které nebylo poškozeno rozpadem turbíny, a frekvence výskytu rozpadu turbíny musejí být použity při výpočtu frekvencí selhání, které vedou na s touto událostí související stavy poškození AZ nebo na velké úniky radioaktivních látek.

Musí být provedena obhlídka zařízení na místě pro ověření předpokladů použitých v analýze, které se týkají ochrany konstrukcí, budov a vybraného zařízení proti vystřele- ným částem turbíny. Tato obhlídka též poskytne přesný obraz o prostorovém rozložení komplexu budovy, o technologii, jakož i o potenciálu případné škody ve všech souvis- lostech, včetně podpůrných systémů, SKŘ apod. Analýza vnitřních explozí

Obecný postup provádění PSA 1. úrovně pro vnitřní rizika lze uplatnit i v tomto přípa- dě, přičemž je třeba zohlednit, že JE je projektována tak, aby byla pravděpodobnost vzniku vnitřních explozí i jejich následky minimalizovány. Analýza vnitřních výbuchů, způsobených vnitřními požáry nebo naopak takové požáry vyvolávající, která hodnotí efekt vzniklého požáru, se typicky provádí v rámci PSA 1.úrovně pro vnitřní požáry. Vlastní specifická analýza rizika od vnitřních explozí by se tak typicky měla zaměřit na další (nepožární) efekty exploze (mechanické poškození zařízení apod.).

Projekt budov JE v podstatě zahrnuje i prevenci a zmírnění vlivu explozí (viz [G15]). Pro tyto účely se používá systematická analýza explozí, jejímž smyslem je charakterizo- vat potenciální zdroje výbuchů (základní vlastnosti a množství výbušných látek, jejich umístění), potenciální vliv prudkého spalování nebo výbuchů na JE (přetlak, náraz nebo přemístění břemen, požár nebo rozžhavení) a prvky prevence. PSA 1.úrovně pro vnitřní exploze spoléhá hlavně na informace a data sesbíraná v průběhu zmíněných analýz, kte- ré umožňují kvalitativní výběr a vyřazení některých havarijních scénářů explozí.

Součástí analýzy je opět obhlídka zařízení na místě, jejímž cílem je identifikace poten- ciálních zdrojů explozí a rovněž verifikace použitých předpokladů.

Pro havarijní scénáře popisovaného typu musí být stanovena frekvence vzniku exploze za použití doporučení uvedených v kapitole 3.4.3 Návodu. Při kvantifikaci je třeba brát v úvahu množství výbušných látek nacházejících se v exponovaných částech areálu JE, lidské aktivity, které mohou způsobit výbuch a efektivita a spolehlivost prostředků pre- vence (zařízení pro detekci vodíku, detektory úniku výbušných tekutých nebo plynných látek, ventilace, atd.).

Specifika PSA 1. úrovně pro vnější rizika

Úvod

V této kapitole jsou uvedena vybraná doporučení pouze pro některé typy vnějších rizik, které obvykle nelze v PSA zanedbat: a)zemětřesení (seismicita), b)extrémní větry včetně tornád, c)vnější záplavy, d)vnější rizika způsobená lidskou činností. Platí však, že je třeba analyzovat i všechna ostatní vnější rizika, která jsou pro dané území k umístění relevantní, viz požadavek vyhlášky č. 162/2017 Sb., o požadavcích na hodno- cení bezpečnosti podle atomového zákona, § 5, odst. 2 [P6].

Obecné aspekty hraničních analýz pro vnější rizika

Nejprve je třeba provést hraniční analýzy s cílem redukovat seznam vnějších rizik, pro něž bude dále prováděna podrobná analýza, která se zaměří především na nejvýznam- nější havarijní scénáře. Hraniční analýzy musejí být provedeny takovým způsobem, aby z nich průkazně vyplývalo, že možné poškození AZ či obecněji paliva na JE následkem specifického vnějšího rizika je zanedbatelné v porovnání s jinými zdroji rizik. V rámci hraniční analýzy musejí být rovněž zváženy kombinace vnějších rizik.

V rámci hraniční analýzy musejí být uvažovány všechny potenciální vlivy zahrnutých vnějších rizik na danou JE.

Hrubý odhad kumulativního příspěvku vnějších rizik, která vstupují do hraniční analý- zy, k celkovému riziku musí být vyčíslen a uveden v závěrečných výsledcích PSA 1. úrovně.

Pro každé specifické vnější riziko musí být vytvořen soubor havarijních scénářů.

Hraniční analýza musí být založena na realistických nebo konzervativních modelech a datech. Takové modely a data zahrnují následující:

• hodnocení frekvence výskytu vnějšího rizika (například odhad frekvence překro-
čení určité intenzity rizika),
• analýzy vlivu vnějšího rizika na JE,
• analýzy odezvy JE,
• model PSA 1. úrovně, data, atd. pro JE a vnější rizika jejího území k umístění.
Zemětřesení (seismicita)

Jelikož zemětřesení představuje významného přispěvatele k riziku v mnohých PSA, mu- sí se provést podrobná analýza tohoto fenoménu. Nejprve je ovšem třeba provést hra- niční analýzy s cílem optimalizovat následnou podrobnou analýzu. Sekundární efekty způsobené zemětřesením, jako například následné požáry a záplavy je v této analýze rovněž třeba zvážit. Podrobný návod pro provádění seismického hodnocení včetně zahr- nutí jeho výsledků do PSA je uveden v literatuře [G18]. Extrémní větry

Předmětem hraniční analýzy, případně i navazující detailní analýzy musí být rovněž různé typy extrémních větrů, v závislosti na umístění dané JE, v našich podmínkách zejména extrémní vítr (jako specifická riziková kategorie), bouřky a efekty související s tornády.

Kombinace extrémních větrů s dalšími vnějšími riziky musejí být rovněž uvažovány a pozornost věnována možným závislostem mezi jednotlivými třídami rizik (například ex- trémní vítr a vysoká úroveň vodní hladiny). Vnější záplavy

V rámci PSA 1. úrovně musejí být hodnoceny následující možnosti vzniku vnějších zá- plav: a)vysoká úroveň hladiny řek a jezer, b)větrné bouře, c)extrémní srážky, d)zvlnění hladiny jezera vlivem rezonance dna a břehů, e)zaplavení v důsledku sesuvu půdy, f)zaplavení způsobené lidskými aktivitami (například selhání přehradních hrází, proti- povodňových či jiných typů hrází).

Při provádění analýzy musí být zvážena kombinace vnějších záplav s jinými možnými vnějšími riziky, přičemž musí být věnována pozornost možným závislostem (například mezi vysokou úrovní hladiny a možným selháním přehradní hráze).

V rámci analýzy musí být rovněž provedeno zhodnocení následků prudkých dešťů a z nich vyplývajících možností náhlých záplav, jako je například možné nahromadění vody na střechách budov a na nízko položených plochách JE. Ostatní vnější rizika způsobená přírodními podmínkami

V rámci hraniční analýzy musí být sestaven kompletní seznam rizik (včetně dalších nad rámec výše uváděných, která se mohou v daném území k umístění JE, viz [P8], vyskyt- nout). K tomuto účelu může být využit přehled rizik analyzovaných v předběžné bez- pečnostní zprávě, provozní bezpečnostní zprávě pro první fyzikální spouštění jaderného zařízení s jaderným reaktorem, provozní bezpečnostní zprávě nebo bezpečnostní zprávě k vyřazování z provozu jaderného zařízení (dle fáze životního cyklu, v němž se PSA provádí), nebo seznam uvedený v kapitole 3.4.4 Návodu. Při sestavování seznamu je třeba věnovat pozornost zejména specifikům daného území k umístění JE (viz [P8]); ta- to část PSA není analýzou technologie, ale analýzou podmínek daného území k umístění JE.

Musí být zvážena možnost výskytu kombinací vnějších rizik způsobených přírodními podmínkami, přičemž musí být věnována pozornost možným závislostem (například mezi nepříznivým počasím a extrémními větry), protože případná závislost mezi výsky- tem rizik v kombinaci má zásadní vliv na hodnotu odhadované frekvence. Vnější rizika způsobená lidskou činností

V rámci PSA 1. úrovně musejí být pro JE v ČR zváženy minimálně následující možné zdroje tohoto speciálního typu vnějších rizik: a)rozšíření požáru ze sousedních podniků či provozů, b)exploze pevných látek nebo oblaku plynu ze sousedních provozů nebo v důsledku do- pravní havárie či havárie transportního potrubí, c)úniky chemických látek z okolních provozů nebo v důsledku dopravní havárie či havá- rie transportního potrubí, d)pád letadla, e)pády zbytků družic, f)srážka lodi se zařízením sloužícím pro přívod vody do JE.

Následující zdroje rizik mohou být pro JE v ČR rovněž uváženy a pokud uváženy nej- sou, měl by tento krok být zdůvodněn: a)vystřelené části zařízení z jiných provozů umístěných v areálu JE, b)výkopové (důlní) práce vně i uvnitř areálu JE, c)elektromagnetická interference (například magnetická či elektrická pole vytvořená ra- darem, rádiem nebo mobilními telefony), d)radiační nehoda nebo radiační havárie na jiném JZ v areálu JE nebo v jeho těsném sousedství, případně v areálu sousedící JE.

Parametrizace vnějších rizik Obecné aspekty

Pro každý typ vnějšího rizika je třeba definovat nejdůležitější parametry související s potenciálem poškození JE následkem jeho intenzivního projevu. Není-li možno cha- rakterizovat potenciál poškození jedním parametrem, je třeba definovat více parametrů. Zemětřesení (seismicita)

Zemětřesení je běžně charakterizováno následujícími parametry:

• intenzita, která představuje hlavní indikátor pro stanovení následků a poškození,
• charakteristiky pohybu půdy, tj. zrychlení, rychlost (šíření otřesů), posuv,
• frekvenční rozsah, který je obvykle reprezentován spektrem odezvy,
• úplná historie seismické události vyjádřená v parametrech zrychlení, rychlost (ší-
ření otřesů), posuv, atd., tedy v datech odrážejících vývoj pohybu půdy během celé seismické události.

Znalost rozsahu frekvence je vhodná pro zahrnutí vibrací relé do analýzy pro stanovení odezvy a porušitelnosti konstrukcí a komponent, a pro odhad účinku stresových faktorů na potenciál pro lidská selhání.

Znalost místní geologie představuje důležitou oblast informací, které je třeba brát v úvahu ve vztahu k sekundárním efektům zemětřesení, jako je zkapalňování zeminy, pokles terénu, nestability svahů, propady půdy, zlomy povrchu nebo jeho rozpraskání.

Spektrální zrychlení nebo střední spektrální zrychlení přes vybrané pásmo frekvencí musí být užito, pokud budou k dispozici data, o něž se lze opřít při jeho odhadu.

Vibrační pohyby půdy způsobené jakýmkoli z hlediska daného území k umístění JE (viz [P8]) významným zemětřesením rovněž nelze vyloučit z úvah, jelikož seismické vlny mohou zasáhnout jakýkoli bod na povrchu Země.

Pohyby Země vyvolané zemětřesením rovněž nelze z analýz PSA vyloučit. Extrémní větry

Parametry, které je třeba uvažovat v závislosti na typu větru:

• dynamické zatížení způsobené poryvy větru a zatížení větrem zprůměrňované přes
časový úsek (například 10 minut) představuje nejdůležitější parametry charakteri- zující tradiční typy větrů (nikoli tornáda, atd.),
• rotační rychlost, tlakový rozdíl a oblast, kudy vede trasa tornád a potenciál půso-
bení (tj. velikost a rychlost) předmětů vržených tornádem představují hlavní para- metry pro charakterizování tornád, atd. Vnější záplavy

Potenciál poškození vlivem vnějších záplav může být charakterizován vodním obje- mem, rychlostí toku, dosaženou úrovní vodní hladiny, trváním záplavy a dynamickým působením vln. V konkrétních případech se využívají následující parametry: a)řeka: úroveň vodní hladiny, rychlost a objem vodního toku, trvání záplavy, b)jezero: úroveň vodní hladiny, trvání záplavy a rychlost vodního toku, c)vlny: výška, délka, perioda, rychlost a směr větru, d)náhlé zvýšení vln: výška, množství vody přelévající se přes hráz v rámci jedné vlny a jejich počet za sekundu, e)zvlnění hladin vlivem rezonance dna a břehů: frekvence oscilací a výška vln, f)led: tloušťka a rychlost stékání.

Rychlost, směr a trvání větru, který se může vyskytnout současně se záplavami, se musí brát rovněž v úvahu jako případ kombinace vnějších rizik. Ostatní vnější rizika způsobená přírodními podmínkami

Na konkrétním místě území k umístění JE (viz [P8]) se může vyskytnout široká škála vnějších rizik způsobených přírodními podmínkami. Pro každý jednotlivý typ přírodní- ho rizika musejí být stanoveny parametry, které vymezují všechny potenciální následky související s daným rizikem.

Parametry pro každý jednotlivý typ vnějšího rizika musejí být přednostně voleny tako- vým způsobem, aby umožňovaly analýzy kombinovaných vnějších rizik. Vnější rizika způsobená lidskou činností

Pro tento typ vnějších rizik musejí být definovány typové parametry na podkladě jejich konkrétního potenciálu poškození, například: a)Pro řadu vnějších rizik vznikajících následkem dopravy představuje reálné nebezpečí výbuch nebo únik nebezpečných látek. Klíčové parametry tedy jsou množství převá- ženého materiálu nebo maximální množství, které může uniknout v důsledku nehody. b)Pro úniky z blízkých průmyslových provozů jsou vhodnými parametry charakter látky a maximální množství, které může uniknout. c)Pro srážku s objektem JE se klíčové parametry vztahují k nárazu, tj. hmotnost a rych- lost dopadajícího objektu (například nákladní loď narážející do zařízení sloužícího k přívodu vody nebo letadlo narážející do konstrukce). d)Pokud je vnější riziko způsobeno výbuchem nastávajícím po přímém nárazu (napří- klad pád letadla), klíčové parametry zahrnují i kombinaci množství paliva v nádržích a hmotnost motorů, které mohou poškodit konstrukce JE. e)Pro vnější rizika typu havárie potrubí jsou vhodnými parametry množství látky, která by mohla uniknout, její základní vlastnosti a tlak přepravovaného média.

Každé vnější riziko vyvolané lidskou činností může mít za následek kombinaci různých nežádoucích dopadů svého projevu, jež je třeba uvažovat. Pád letadla může způsobit přímé mechanické poškození, výbuch, požár a vibrace. Havárie potrubí může způsobit výbuch doprovázený tlakovou vlnou (impulsivní zatížení vyplývající z prudkého spalo- vání nebo detonace), požár a vibrace. Následkem vnější události mohou být rovněž vy- střeleny části zařízení, které mohou jako sekundární efekt zasáhnout různé části JE.

Při charakterizování vnějších rizik vyvolaných lidskou činností je třeba brát v úvahu jak primární, tak sekundární efekty. Bez ohledu na původ iniciátoru se tyto efekty typicky vyjadřují například pomocí následujících jevů:

• nárazy,
• tepelné zatížení,
• zatížení vibracemi,
• šíření toxických plynů, atd.
Při explozích oblaků plynů je třeba brát v úvahu rovněž možnost jejich unášení větrem směrem k JE.

Kombinace vnějších rizik vyvolaných lidskou činností s dalšími kategoriemi rizik muse- jí být rovněž zváženy. Speciální pozornost je třeba věnovat zejména možným závislos- tem (například únik chemických látek, rychlost větru a jeho směr).

Podrobná analýza vnějších rizik

Pro všechna vnější rizika, která nebyla vyloučena vyřazovacím procesem nebo pro která z hraniční analýzy vyplývá, že je obtížné dospět k závěrům a doporučením nebo odhad- nout významnost jejich příspěvku k riziku, musí být provedena podrobná analýza.

Jestliže hraniční analýza nemůže poskytnout uspokojivé sumární výsledky pro zkouma- né vnější riziko přes všechny jeho úrovně, ale pouze pro vnější rizika určitého stupně, musí být dotyčné vnější riziko rozděleno na podkategorie a stanoveny odpovídající ha- varijní scénáře, pro něž je provedena podrobná analýza. Kvalitně vytvořený model PSA 1.úrovně pro interní IU je nezbytnou podmínkou pro provádění podrobných analýz vnějších rizik. Podrobná analýza musí být založena na realistickém modelování i datech obsažených v komplexním PSA modelu, který umožňuje modelovat všechny fenomény související s uvažovaným vnějším rizikem.

Při provádění podrobných analýz musí být rovněž uvažován kombinovaný vliv vnějších rizik v případech, že se projeví současně a mají společný původ (například extrémní vítr a blesky) nebo mezi nimi existují další závislosti (například vysoká úroveň vodní hladi- ny v důsledku srážek a selhání přehradní hráze).

Stanovení frekvence vzniku vnějších rizik Obecné aspekty

Před stanovením frekvence vnějších rizik je třeba získat detailní relevantní informace o daném území k umístění JE (viz [P8]) týkající se vzájemných vztahů mezi odolností (reprezentovanou vhodnými parametry specifickými pro dané riziko) a frekvencí výsky- tu každého ze všech potenciálně možných vnějších rizik („pravděpodobnostní křivka porušitelnosti“). Při stanovení frekvence musejí být využívány informační zdroje speci- fické pro danou JE a dané území k umístění JE (viz [P8]).

Analýza vnějších rizik (stanovení frekvence překročení konkrétní intenzity) musí být za- ložena na pravděpodobnostním hodnocení specifickém pro dané území k umístění JE (viz [P8]), které odráží současné dostupné údaje, informace specifické pro zkoumané území k umístění, jakož i údaje o tom, jak je daná JE skutečně postavena a provozována, pokud jsou taková data k dispozici. Navíc je třeba při analýze využívat data z historie nebo fenomenologické modely, případně oboje. Rovněž musí být vždy použita aktuální data o výskytu vnějších rizik a současné metodické přístupy, jsou-li k dispozici. Ob- vykle se vytváří množina pravděpodobnostních křivek porušitelnosti pro vyjádření ne- určitostí při popisování daného vnějšího rizika.

Musejí být provedeny analýzy časových trendů, aby bylo možno potvrdit, že neexistují trendy směřující k nárůstu frekvence vzniku vnějších rizik. Krátkodobé trendy objevují- cí se v době bezprostředně před prováděním analýzy, které ukazují snížení frekvencí vzniku vnějších rizik, není vhodné obecně brát v potaz, ledaže by bylo naprosto zřejmé, že nemají náhodný charakter.

Pokud jsou frekvence vzniku vnějších rizik stanoveny na regionálním nebo generickém podkladě, musí být provedena korelační analýza s cílem rozhodnout, zda jsou použitá data ještě aplikovatelná na dané území k umístění JE (viz [P8]). Neurčitosti související s použitím regionálních nebo generických dat odrážejí specifické rysy množiny pravdě- podobnostních křivek porušitelnosti pro daný případ.

Pokud je pro odvození pravděpodobnostních křivek porušitelnosti použit expertní od- had, musí být založen na předem vypracované metodice, která zajistí, že bude existovat formální zdokumentovaný proces analýzy, který splní následující podmínky:

• analýzu zpracují kvalifikovaní nezávislí experti schopní hodnotit relativní věro-
hodnost alternativních hypotéz vyplývajících z dostupných informací,
• využití, odůvodnění a pozadí informací pro provedení expertního odhadu je zdo-
kumentováno takovým způsobem, který umožňuje reprodukovatelnost analýzy,
• jsou popsány a oceněny neurčitosti expertních odhadů a jsou zhodnoceny dopady
těchto neurčitostí a náhodností v datech na výsledky analýzy. Zemětřesení (seismicita)

Frekvence vzniku zemětřesení v daném území k umístění JE (viz [P8]) musí být založe- na na pravděpodobnostní analýze specifické pro toto území k umístění JE.

Je třeba vypracovat komplexní databázi aktuální k datu provádění analýzy, která bude odrážet současný stav znalostí včetně: a)geologických, seismologických a geofyzikálních údajů, b)topografii místa, c)geotechnické a geofyzikální vlastnosti území k umístění JE (viz [P8]).

Součástí sběru dat musí být rovněž přehled historicky doložených, geologicky zjiště- ných a / nebo přístroji zaznamenaných zemětřesení.

Všechny důvěryhodné zdroje informace o potenciálně nebezpečných zemětřeseních musejí být brány v úvahu. Zdroje zemětřesení musí být charakterizovány umístěním a geometrií, maximální velikostí zemětřesení a frekvencí opětovného výskytu. Náhodné (statistické) a epistemické neurčitosti musejí být rovněž obsaženy v charakteristice da- ného zdroje.

Rozsah parametrů použitých při charakteristice zemětřesení musí být dostatečně široký a podrobný, aby umožňoval odhad seismického rizika, a musí být konzistentní s fyzikálními daty a s jejich interpretací.

Pro spodní hraniční hodnotu parametru užitou při analýze musí být prokázáno, že ze- mětřesení s jakoukoli nižší hodnotou daného parametru nezpůsobí žádné poškození kon- strukcí a komponent, a to ani těch, které se nacházejí mimo areál JE, ale mohou mít po- tenciální vliv na bezpečnost provozu, jako jsou rozvody elektrického proudu a potrubní sítě, jimiž se přepravují nebezpečné látky.

Při odhadu frekvence výskytu zemětřesení musí být zajištěno, že rozsah uvažované ob- lasti a záběr analýzy je dostatečný pro charakteristiku všech důvěryhodných zdrojů ze- mětřesení přispívajících k frekvenci jeho výskytu. Extrémní větry

Model použitý pro výpočet frekvencí a intenzit extrémních větrů musí být založen na specifických datech, která odrážejí současné a veškeré dostupní historické informace specifické pro dané území k umístění JE (viz [P8]). Analýza musí postihnout i ty nej- horší povětrnostní podmínky, se kterými se lze v daném území k umístění JE setkat. Případné současné krátkodobé trendy indikující snižování frekvence výskytu extrémních větrů nesmějí dominovat při hodnocení frekvence.

Při výpočtu frekvencí výskytu a intenzity tornád musí být aplikována nejaktuálnější me- todika a údaje o výskytu a intenzitách tohoto atmosférického jevu opírající se především o:

• rozlišení různých intenzit tornád a frekvencí jejich výskytu,
• korelaci šířky území poškozeného působením tornáda s jeho délkou,
• korelaci oblasti postižené tornádem s jeho intenzitou,
• rozptyl intenzity tornáda podél trasy, kudy procházelo,
• rozptyl intenzity tornáda napříč trasou, kudy procházelo,
• rozptyl v rozdílu tlaků tornáda napříč trasou, kudy procházelo.
Vnější záplavy

Výpočty frekvencí a následků vnějších záplav, které se mohou vyskytnout v daném území k umístění JE (viz [P8]), musejí být založeny na pravděpodobnostní analýze od- rážející aktuální stav informací. Jestliže jsou k dispozici specifická data pouze za rela- tivně krátké časové období, je třeba použít data o záplavách ze širšího regionu, přičemž musí být prokázána aplikovatelnost takových údajů.

Neurčitosti v modelech a hodnotách parametrů vycházejících z analýzy vnějších záplav musejí být patřičně zváženy.

Analýza frekvencí a následků extrémní záplavy způsobené říčními vodami musí zahr- novat záplavy následkem selhání jedné nebo více (kaskády) přehradních hrází.

Při analýze záplav způsobených vodními zdroji s rozsáhlými vodními plochami musí být rovněž brán v úvahu vliv větrem vyvolaných vln a možné přemístění většího množ- ství vody při tornádu. Ostatní vnější rizika způsobená přírodními podmínkami

- (3.385), (3.387),

Frekvence konkrétního vnějšího rizika způsobeného přírodními podmínkami musejí být stanoveny pomocí jak dat specifických pro dané území k umístění JE (viz [P8]), tak údajů pro širší region. Při aplikaci regionálních dat je vhodné uplatnit korelační analýzu jako podpůrný prostředek.

V těch případech, kdy nejsou k dispozici ani data specifická pro dané území k umístění JE (viz [P8]) ani data z okolního regionu, je možno využít generická data. Aplikovatel- nost generických dat na analyzované území k umístění JE je třeba podrobně prošetřit a všechny předpoklady použité v rámci analýzy podrobně zdokumentovat. Vnější rizika způsobená lidskou činností

Pro realistické a zdůvodněné stanovení frekvence konkrétních vnějších rizik vyvolaných lidskou činností musejí být shromážděny a použity alespoň následující informace: a)kvalitativní a kvantitativní informace týkající se skladby výbušných, nebezpečných nebo toxických látek uskladněných v areálu JE i mimo něj v rámci předem stanovené- ho poloměru působnosti v dosahu zařízení JE: i)potenciální zdroje rizik

• vně areálu JE:
• skladiště olejů,
• ropovody, plynovody,
• automobilová doprava,
• železniční doprava,
• lodní doprava,
• další dodatečně zařazené možnosti představující riziko.
• uvnitř areálu JE:
• sklady (kyseliny, hydrazin, atd.),
ii) vzdálenost potenciálních zdrojů rizik od bezpečnostně významných objektů JE:
• od konstrukcí,
• od budov, v nichž je umístěno bezpečnostně významné zařízení,
• od tohoto zařízení,
• od sání ventilace,
b)umístění vojenských nebo výcvikových zařízení představujících možný zdroj ohro- žení JE a frekvence provádění výcvikových aktivit, c)potenciál pro vznik mimořádných událostí a podklady pro odhad frekvence jejich výskytu i potenciálních následků (výtěžnost výbuchu).

Analýza porušitelnosti konstrukcí a komponent Obecné aspekty

Porušitelnost konstrukcí a komponent musí být oceněna na základě informací specific- kých pro danou JE v rozsahu potřebném pro splnění cílů analýzy (hraniční analýzy nebo podrobné analýzy). V analýze musejí být zohledněny nálezy z obhlídky zařízení JE.

Analýza porušitelnosti nemůže být omezena pouze na konstrukce nacházející se v areálu JE, ale musí zahrnovat i zařízení mimo JE, jako například elektrická vedení, potrubní systémy, jimiž se přepravují nebezpečné látky, apod. Způsobená selhání mohou vyka- zovat závislosti, zejména v případech, kdy odvozené hodnoty porušitelnosti jsou nízké.

Analýza porušitelnosti musí obsáhnout rovněž neurčitosti informací, zejména v případech, kdy jsou vynuceně použita namísto specifických dat z dané JE data gene- rická. Zemětřesení (seismicita)

Seznam konstrukcí a komponent pro analýzu porušitelnosti následkem zemětřesení musí obsahovat všechny konstrukce a komponenty, které jsou modelovány v seismické PSA 1.úrovně. Základní soubor vychází ze seznamu komponent uvažovaných v PSA 1. Úrovně a je doplněn o další zařízení, které při selhání může přispívat k CDF (FDF) nebo k LERF po seismické události.

Při analýze projektové dokumentace a při obhlídkách zařízení na místě musí být identi- fikovány všechny realistické způsoby poruch konstrukcí a komponent, které by narušo- valy provozuschopnost zařízení během zemětřesení a po něm.

Porušitelnost je oceněna pro všechny způsoby poruch identifikovaných dle předchozího odstavce u konstrukcí (například sesouvání, převrhnutí, povolení pod tlakem, nadměrné posuny) a komponent (například selhání ukotvení, náraz sousedních zařízení či kon- strukcí, selhání vzpěr, funkční selhání). Speciální částí analýz je rozbor vlivu zemětře- sení na zemský povrch (například zkapalňování, nestabilita svahu, nerovnoměrné sedání půdy doprovázené vznikem trhlin, apod.).

Detailní analýza porušitelnosti musí být podpořena speciální obhlídkou zařízení na mís- tě, která se soustředí na ukotvení, laterální seismické opory a potenciální interakce mezi systémy, konstrukcemi a komponentami. Je nutné speciálně uvažovat scénáře, kdy zaří- zení, které není kvalifikováno na podmínky zemětřesení, vchází v důsledku zemětřesení v dynamickou interakci se zařízením, jež na aktuální podmínky kvalifikováno je.

Rovněž se v rámci obhlídky zařízení musí věnovat pozornost konsekvenčním požárům a záplavám vznikajícím následkem zemětřesení.

Výpočty parametrů determinujících porušitelnost následkem zemětřesení (například medián seismické kapacity konstrukcí a jeho variance) musejí být přednostně založeny na datech specifických pro danou JE, která jsou dle potřeby doplněna o informace z aktuálně se vyskytnuvších zemětřesení, data z testů porušitelnosti a data z generických kvalifikačních testů.

Pokud jsou konstrukce a komponenty s nízkou porušitelností, vyřazeny z další analýzy na podkladě generických dat, musí být ověřena konzervativnost postupu. Důležité je, aby nebyly zanedbány žádné prvky, relevantní pro dané území k umístění JE (viz [P8]) a danou JE.

Seismické odezvy konstrukcí a komponent a jejich způsob selhání musejí být stanoveny na základě spektra odezvy zemětřesení specifického pro dané území k umístění JE (viz [P8]) založeného na parametrech pohybů zemské kůry (například průměrného spektrál- ního zrychlení).

Neurčitosti v parametrech iniciačního zrychlení zemského povrchu a vlastnostech kon- strukcí a komponent JE musejí být brány v úvahu při vytváření spojitých pravděpodob- nostních rozdělení určujících odezvu konstrukcí a komponent.

U všech konstrukcí a komponent, které se v PSA modelu vyskytují v dominantních ha- varijních sekvencích, musí být zajištěno, že všechny související parametry porušitelnosti specifické pro dané území k umístění JE (viz [P8]) jsou odvozeny na základě informací specifických pro danou JE. Extrémní větry

Při hodnocení vlivu extrémních větrů musí být věnována speciální pozornost specific- kým vlastnostem vnějších bariér (tj. zdem a střechám), které chrání bezpečnostně vý- znamné konstrukce a dále všem systémům, konstrukcím a komponentám, které jsou přímo vystaveny povětrnostním podmínkám a následkům případného poškození zaříze- ní vlivem předmětů vymrštěných větrem, které mohou v důsledku ztráty funkce způso- bit vznik IU.

Musejí být zmapovány budovy JE a jejich okolí s cílem stanovit počet a typy objektů, které by mohly být přemístěny extrémním větrem a stát se se předmětem s velkou kine- tickou energií vrženým proti zařízení JE. Pravděpodobnosti zásahu bezpečnostně vý- znamných objektů takovým předmětem musejí být stanoveny adekvátní pravděpodob- nostní analýzou.

Je třeba stanovit specifické a realistické porušitelnosti objektů extrémními větry pro všechny systémy, konstrukce či komponenty nebo jejich kombinace, jejichž poškození může vyvolat IU.

Při hodnocení porušitelnosti konstrukcí a komponent následkem působení extrémního větru musejí být použity parametry porušitelnosti odvozené z dat specifických pro da- nou JE. V rámci hodnocení musejí být uvažovány rovněž konstrukce, které sice nemají přímočarý bezpečnostní význam, ale které by mohly svým pádem na bezpečnostně vý- znamná zařízení způsobit jejich poškození. Pro tento účel se uplatní jako významný zdroj informací nálezy z obhlídky zařízení JE na místě.

Pro účely analýzy musí být sestrojena množina křivek porušitelnosti zahrnující konkrét- ní způsoby poruchy každé konstrukce nebo komponenty, popsaná pomocí mediánu rychlosti větru a charakteristik neurčitostí jeho hodnoty (například logaritmických stan- dardních odchylek), reprezentujících neurčitost v mediánu kapacity konstrukcí nebo komponent. Vnější záplavy

Pro zahrnutí vysoké úrovně hladiny v řece, která je pro JE potenciálním zdrojem hava- rijních scénářů, musí být provedena analýza selhání přehradní nádrže umístěné proti proudu řeky a odhadnuta příslušná frekvence výskytu.

Při hodnocení porušitelnosti konstrukcí a komponent následkem vnějších záplav musejí být použita data specifická pro danou JE. Při hodnocení musejí být uvažovány rovněž ty konstrukce, které sice nemají přímočarý bezpečnostní význam, ale které mohou způsobit poškození bezpečnostně významných objektů svým pádem. Při tomto hodnocení se opět uplatní nálezy z obhlídky zařízení JE na místě. Do úvah týkajících se zasažení pádem musejí být zahrnuty všechny konstrukce umístěné na nízko položených místech, zejmé- na pak přívody do koncových tepelných jímek.

Analýza porušitelnosti pro vnější záplavy musí zahrnovat potopení a dynamické zatížení konstrukcí a komponent vlivem vln, a rovněž potenciál pro selhání základů v důsledku eroze půdy. Ostatní vnější rizika způsobená přírodními podmínkami

Pro analýzu dalších vnějších přírodních rizik platí všechny obecné aplikovatelné aspekty a doporučení analýzy porušitelnosti uvedené výše u specifických typů rizik (zemětřese- ní, extrémní vítr, vnější záplavy). Vnější rizika způsobená lidskou činností

Pro analýzu vnějších rizik způsobených lidskou činností platí všechny obecné aplikova- telné aspekty a doporučení analýzy porušitelnosti uvedené výše u specifických typů ri- zik (zemětřesení, extrémní vítr, vnější záplavy).

Integrace vnějších rizik do modelu PSA 1. úrovně Obecné aspekty

Prakticky ve všech případech se jako základ pro modelování vnějších rizik využívá PSA model 1.úrovně pro interní IU. Tento model musí být upraven pro zahrnutí specifických aspektů analýzy vnějších rizik. Významnější vlivy vnějších rizik, které by mohly vést na speciální nové kategorie IU, musejí být zohledněny v procesu přechodu od PSA modelu pro interní IU a jeho stromů událostí k PSA modelu pro vnější rizika.

Vhodné pravděpodobnostní křivky porušitelnosti pro důležité systémy, konstrukce a komponenty musejí být využity jako podklad v kvantitativní části PSA modelu vnějších rizik. Všechny významné závislosti, korelace a neurčitosti související s konkrétním vnějším rizikem musejí být rovněž zohledněny v kvalitativní i kvantitativní části analý- zy.

Pravděpodobnosti úspěchu nápravných akcí a lidských selhání, které jsou využity v PSA modelu pro interní události, je třeba vhodně korigovat, aby bylo možno postih- nout vliv vnějších rizik na spolehlivost lidského činitele. Zemětřesení (seismicita)

Model PSA 1. úrovně pro interní IU musí být upraven; budou do něj být zahrnuty aspekty specifické pro zemětřesení, které jsou odlišné od odpovídajících aspektů mode- lu pro interní IU.

Na některých JE jsou uvedeny požadavky na ruční odstavení reaktoru v souboru opatře- ní pro případ vzniku zemětřesení určité intenzity (například 50% projektového zemětře- sení). Model seismické PSA 1.úrovně musí tento požadavek zohledňovat, a to i pro pří- pady, kdy turbína má vysokou seismickou kapacitu a kde se reálně lze vyhnout automa- tickému odstavení reaktoru.

V modelu seismické PSA 1. úrovně musejí být zahrnuty všechny důležité IU způsobené zemětřesením, které by mohly vést k poškození AZ, či obecněji paliva v JE. Konkrétně musejí být modelovány IU vedoucí k následujícím typům havarijních scénářů: a)poruchy velkých zařízení (například TNR, parogenerátory, kompenzátor objemu), b)LOCA různých rozsahů a z různých míst I.O.; rovněž musejí být zahrnuty velmi malé LOCA způsobené zemětřesením vzniklé na drobných potrubích (například impulsní trubičky), c)LOSP (rozpad rozvodné sítě), d)transienty (s uvažováním selhání zregulování na vlastní spotřebu i bez tohoto selhání) včetně ztráty různých podpůrných systémů.

Model PSA 1. úrovně pro interní IU musí být doplněn o nové havarijní scénáře, které se v něm nevyskytují a jež jsou vyvolány zemětřesením. Model PSA 1.úrovně pro interní IU je rozšířen v rámci zahrnování seismické IU při zahrnutí nových specifických kom- ponent účastnících se odezvy na vznik seismické IU nebo dosud neuvažovaných způ- sobů selhání komponent, jako například selhání pasivních komponent (konstrukcí, bu- dov, distribučních systémů, kabelových lávek, vibrujících relé atd.). Musejí být také uvažovány účinky seismické události na zařízení nacházející se uvnitř reaktoru, kon- krétně například uvíznutí (zadrhnutí) řídící tyče následkem zemětřesení.

- (3.416), (3.421),

Při modelování poškození konstrukcí, systémů a komponent následkem zemětřesení musejí být důkladně zváženy všechny závislé poruchy zařízení umístěného v budově, která bude zemětřesením poškozena. Případy, kdy budou závislosti tohoto typu vylou- čeny z modelu nebo kdy jejich význam bude v modelu snížen, musejí být podrobně zdůvodněny.

Důkladné prověření a s tím související změny modelu musejí být provedeny v souvislosti s nápravnými akcemi a lidskými selháními. Nápravné akce, které nemohou být provedeny v důsledku zemětřesení určité úrovně, musejí být z modelu odstraněny anebo konzervativně kvantifikovány.

Všechna lidská selhání uvažovaná v PSA modelu odezvy bloku na IU zahrnutá do PSA modelu pro interní IU, musejí být zrevidována a upravena pro specifické podmínky ze- mětřesení. Přinejmenším následující efekty zemětřesení působící na faktory přímo ovlivňující kvalitu práce obsluhy musejí být brány v úvahu:

• přístupnost konkrétních konstrukcí, systémů a komponent po zemětřesení,
• nárůst úrovně stresu obsluhy,
• selhání indikací nebo falešné indikace stavu zařízení,
• selhání systémů komunikace,
• seismické havarijní scénáře s následnými požáry a záplavami,
• další aplikovatelné faktory ovlivňující chování operátora (vnitřní předpisy, vý-
cvik).

Požáry a záplavy vznikající v důsledku zemětřesení musejí být zahrnuty v seismické PSA 1.úrovně, pokud nebude jednoznačně zdůvodněno, že jiné poškození zařízení způ- sobené zemětřesením omezuje účinky tohoto typu událostí.

Při kvantifikaci PSA modelu musejí být, kromě výsledné CDF (FDF), získány další dů- ležité výsledky, jako například informace o struktuře všech havarijních sekvencích a in- formace o MKŘ.

Integrace a kvantifikace modelu seismické PSA musí být provedena takovým způso- bem, aby neurčitosti všech parametrů vstupujících do modelu (tj. frekvence výskytu zemětřesení, porušitelnost v důsledku zemětřesení, závislosti a aspekty týkající se ana- lýzy systémů) byly do modelu správně zahrnuty s cílem získat správné charakteristiky neurčitostí výsledné CDF (FDF). Extrémní větry

Model PSA 1. úrovně musí zahrnovat všechny IU způsobené extrémními větry a musí dostatečně výstižně modelovat všechny rizikově významné následné efekty.

– (3.424), (3.427),

Zahrnutí havarijních sekvencí vyvolaných vnější záplavou musí obsahovat pravděpo- dobnostní křivky porušitelnosti specifické pro zkoumané území k umístění JE (viz [P8]) a porušitelnost všech konstrukcí, systémů a komponent, jejichž poškození může vést k vyřazení zařízení modelovaného v PSA 1.úrovně. Ostatní prvky uvažované v modelu PSA jako primární události reprezentující neprovozuschopnosti nebo selhání zařízení a selhání lidského faktoru, které nesouvisejí s vnějším zaplavením. Pravděpodobnosti lid- ských chyb modelovaných u akcí reagujících na záplavu musejí být upraveny tak, aby byl zahrnut efekt zaplavení na práci obsluhy (zejména obtížná nebo žádná dostupnost zařízení).

Neurčitosti, závislosti a korelace musejí být podrobně osvětleny, aby bylo možno mode- lovat havarijní sekvence pro IU způsobené vnějším zaplavením. Ostatní vnější rizika způsobená přírodními podmínkami

Pro ostatní vnější rizika platí všechny obecné aspekty a doporučení pro jejich integraci do PSA modelu uvedené výše u hlavních typů vnějších rizik (zemětřesení, extrémní vítr, vnější záplavy). Vnější rizika způsobená lidskou činností

Pro vnější rizika způsobená lidskou činností platí všechny obecné aspekty a doporučení pro integraci do PSA modelu uvedené výše u hlavních typů přírodních vnějších rizik (zemětřesení, extrémní vítr, vnější záplavy).

Dokumentace a prezentace výsledků Obecné aspekty

Dokumentace třídící analýzy, hraničních analýz i detailních analýz prováděných pro vnější rizika v rámci PSA 1.úrovně musí být vypracována takovým způsobem, aby umožňovala a usnadňovala posouzení provedených prací i budoucí aplikace a aktualiza- ce PSA:

• Vyloučení každého vnějšího rizika musí být zdokumentováno, včetně aplikova-
ných postupů, detailů použité metody i přijatých předpokladů a jejich zdůvodnění.
• Musí být popsány metody využitelné pro stanovení pravděpodobnostních křivek
porušitelnosti pro jednotlivé typy vnějšího rizika, a to včetně: o dat použitých při numerickém odvození pravděpodobnostních křivek poru- šitelnosti, o technických detailů představujících podklady pro získané výsledky, o základních předpokladů a s nimi souvisejících neurčitostí.
• Musí být vyhotoven podrobný seznam systémů, konstrukcí a komponent, které
jsou předmětem analýzy porušitelnosti, obsahující: o informaci o přesném umístění každého systému, konstrukce a komponenty, o metody a klíčové předpoklady použité při analýze porušitelnosti, o dominantní způsoby poruch pro jednotlivé systémy, konstrukce a kompo- nenty, o jednoznačné a přesné odkazy na zdroje informací využitých při analýze.
• Ty systémy, konstrukce a komponenty, které nejsou předmětem analýzy porušitel-
nosti, musejí být rovněž objektivně posouzeny a v příslušné části dokumentace musí být uveden důvod, který vedl k jejich vyřazení z modelu PSA 1.úrovně.
• Konkrétní úpravy provedené v modelech odezvy JE na interní IU musejí být dů-
kladně zdokumentovány a zdůvodněny.
• Rovněž musejí být popsány konečné kvantitativní výsledky hraničních i detailních
analýz, zejména CDF (FDF), dominantní MKŘ a dominantní havarijní sekvence související s daným vnějším rizikem. Přitom musejí být respektovány obecné zá- sady pro vytváření dokumentace PSA uvedené v kapitole 3.4.1.5 Návodu.

V dokumentaci musejí být uvedeny hlavní výstupy PSA 1. úrovně pro vnější rizika:

• CDF (FDF) a příslušná distribuční křivka dokumentující neurčitosti analýzy,
• výsledky citlivostních studií,
• seznamy dominantních havarijních sekvencí a MKŘ,
• technický rozbor dominantních sekvencí a dominantních MKŘ,
• popis hlavních přispěvatelů k epistemickým i náhodným neurčitostem.
Zemětřesení (seismicita)

Musejí být popsány specifické metody použité při charakterizování zdrojů zemětřesení a hodnoty vybraných parametrů budoucího modelu seismického rizika. Podrobně je třeba zdokumentovat konkrétní interpretace zjištěných skutečností, které představují základ pro vytváření vstupů do modelu seismického rizika a výsledky.

V dokumentaci seismické PSA 1. úrovně musejí být uvedeny následující informace:

• seznam konstrukcí, systémů a komponent zahrnutých v seismické PSA 1. úrovně,
• charakteristiky porušitelnosti a soubor technických podkladů pro jejich stanovení u
všech systémů, konstrukcí a komponent,
• pravděpodobnosti poškození pro rozsah zemětřesení přímo modelovaný v PSA 1.
úrovně,
• významné způsoby poruch pro systémy, konstrukce a komponenty a umístění
všech těchto zařízení,
• komentovaný soupis konkrétních úprav provedených v původních modelech vnitř-
ních IU uvažovaných v PSA 1.úrovně, jejichž cílem je zohlednění vlivu zemětře- sení,
• podrobná a dobře interpretovatelná informace o závislostech zdrojů rizika a mož-
ného selhání systémů, konstrukcí a komponent (zejména prostorové interakce) modelovaných v seismické PSA 1.úrovně, stejně jako veškeré předpoklady použi- té při vylučování nebo korektním snižování vlivu závislostí.

Musejí být zdokumentovány metodické postupy použité při kvantifikaci porušitelnosti následkem zemětřesení. Do dokumentace musejí být zahrnuty následující aspekty seis- mické analýzy porušitelnosti:

• analýza odezvy JE na zemětřesení,
• jednotlivé kroky vyřazovacího procesu,
• obhlídky systémů, konstrukcí a komponent JE a poznatky z nich,
• prozkoumání projektové dokumentace,
• identifikace kritických způsobů poruch pro všechny systémy, konstrukce a kom-
ponenty,
• výpočty porušitelnosti pro všechny systémy, konstrukce a komponenty – předpo-
klady, nástroje, metody a výsledky.

Postupy pro obhlídku JE, složení a kvalifikace týmu, který jí prováděl i vlastní pozoro- vání a závěry z něj učiněné musejí být rovněž podrobně zdokumentovány. Extrémní větry

Dokumentace PSA 1. úrovně pro analýzu rizika extrémních větrů musí být zpracována dle vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomové- ho zákona, § 12 [P6], a to takovým způsobem, aby usnadňovala kontrolu, aplikace a ak- tualizace PSA. Do dokumentace musejí být zahrnuty následující informace:

• popis specifických metod a dat použitých pro stanovení pravděpodobnostních kři-
vek porušitelnosti systémů, konstrukcí a komponent pro extrémní větry,
• konkrétní změny provedené v PSA modelu, které zohledňují možné negativní ná-
sledky extrémního větru,
• seznam všech systémů, konstrukcí a komponent, uvažovaných v analýze a expli-
citní objasnění těch případů, kdy byly systémy, konstrukce a komponenty z analýzy vyloučeny,
• celkové výsledky PSA 1. úrovně (CDF /FDF/) a všechny dílčí výsledky užitečné
pro charakterizování rizika extrémních větrů. Vnější záplavy

Dokumentace PSA 1. úrovně pro analýzu rizika vnějších záplav musí být zpracována dle vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomové- ho zákona, § 12 [P6], a to takovým způsobem, aby usnadňovala kontrolu, aplikace a ak- tualizace PSA. Do dokumentace musejí být zahrnuty následující informace:

• popis specifických metod a dat použitých pro stanovení pravděpodobnostních kři-
vek porušitelnosti systémů, konstrukcí a komponent pro vnější záplavy,
• konkrétní změny provedené v PSA modelu, které zohledňují možné negativní ná-
sledky vnějších záplav,
• seznam všech systémů, konstrukcí a komponent, uvažovaných v analýze a expli-
citní objasnění těch případů, kdy byly některé systémy, konstrukce a komponenty z analýzy vyloučeny,
• celkové výsledky PSA 1. úrovně (CDF /FDF/) a všechny dílčí výsledky užitečné
pro charakterizování rizika vnějších záplav. Ostatní vnější rizika způsobená přírodními podmínkami

Platí zde všechny obecné aspekty a doporučení pro dokumentaci analýzy uvedené výše u základních typů vnějších rizik (zemětřesení, extrémní vítr, vnější záplavy). Vnější rizika způsobená lidskou činností

Platí zde všechny obecné aspekty a doporučení pro dokumentaci analýzy uvedené výše u základních typů vnějších přírodních rizik (zemětřesení, extrémní vítr, vnější záplavy).

Obecné aspekty PSA 1. úrovně pro nízkovýkonové stavy a odstávku

- (3.439), (3.441),

Podobně jako při provozu na výkonu mohou při nízkovýkonových stavech a odstávce významně přispívat k celkovému riziku vnitřní a vnější rizika, která mohou být analy- zována obdobným způsobem jako u scénářů vznikajících při provozu na výkonu, s některými výjimkami. Při výběru iniciačních událostí může hrát roli rozdíl v délce tr- vání jednotlivých stavů (provoz na výkonu trvá podstatně delší část roku, než odstávka); pravděpodobnost výskytu těchto typů rizik tak zde většinou bude značně menší než při provozu na výkonu. Rovněž následky jejich výskytu mohou být rozdílné při provozu na výkonu a za odstávky bloku.

Během nízkovýkonových stavů a odstávky se provádějí na JE s tlakovodními reaktory následující činnosti, s nimiž souvisí rozdělení provozu JE, přesněji provozních režimů, do jednotlivých PSA stavů:

• snižování výkonu bloku, dosažení odstavného stavu,
• přechod na provoz systému dochlazování bloku (odvod zbytkového tepla),
• roztěsnění víka reaktoru a jeho odkrytí,
• zaplavení bazénu výměny,
• výměna paliva,
• údržba a testy udržovaného zařízení,
• testy integrity potrubních systémů před vyvedením bloku na výkon,
• odstavení systému dochlazování bloku a vyvedení bloku na výkon.

Specifikace typů odstávky a PSA stavů

Během odstavování bloku a vyvádění bloku na výkon dochází k významným změnám v konfiguraci zařízení JE. Pro tlakovodní reaktory existují v zásadě tři typy odstávek, je- jichž obecné charakteristiky by se měly odrážet v modelu PSA: a)pravidelně se opakující odstávky na výměnu paliva, během nichž se rovněž provádí údržba a testy zařízení (tato kategorie obsahuje jak tzv. malou, tak tzv. velkou odstáv- ku, kdy je veškeré palivo vyvezeno z AZ do bazénu skladování), b)plánované odstávky, během nichž se provádí specifická údržba, c)neplánované, ale předvídatelné odstávky v důsledku poruchy zařízení JE během no- minálního provozu. Tyto skutečnosti se odrážejí v LaP, kde jsou uváděny specifické požadavky na konfigu- raci zařízení během jednotlivých provozních režimů.

Za dobrou praxi se považuje analyzovat v rámci PSA všechny výše uvedené typy odstá- vek. Analyzované havarijní sekvence následující po IU musejí být při analýze a mode- lování dovedeny až do okamžiku, kdy bude dosaženo bezpečného a stabilního stavu, viz požadavek vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 6, odst. 1, písm. b)[P6]). Ukončení analýz po uplynutí předem fi- xované doby provozu není v řadě případů vhodné.

V mnoha případech se analyzuje v prvním přiblížení tzv. typická odstávka; pro provo- zované reaktory je odvozená nejprve z poslední odstávky, s následným uvážením infor- mací získaných z ostatních odstávek proběhlých v poslední době a konzultací s pracovníky provozovatele, kteří se podílejí na plánování a hodnocení odstávek.

V některých případech vyvolaných potenciálními aplikacemi je vhodná specifická ana- lýza vybraného období a charakteru odstávky. V případě odstávek plánovaných pro pro- vedení konkrétní údržby je významným výstupem PSA pro rizikově informované roz- hodování informace o porovnání rizika souvisejícího s plánovanou odstávkou s rizikem pokračování v provozu bloku na výkonu.

Předvídatelné změny ve vnitřních předpisech týkajících se odstávek musí být rovněž v analýzách zahrnuty, pokud je jedním z cílů PSA hodnotit riziko související s budoucím provozem bloku.

V období mezi zahájením odstavování a najížděním bloku po proběhlé odstávce se vy- skytuje velké množství stavů JE s rozdílnou konfigurací zařízení. Všechny tyto stavy je třeba podrobně zmapovat a seskupit do několika PSA stavů reprezentujících základní a navzájem zásadně odlišné konfigurace dostupného zařízení účastnícího se odezvy na případnou IU. Při tomto seskupování podobných stavů jsou zohledněny přinejmenším následující fyzikální a technické provozní aspekty:

• kritičnost reaktoru a/nebo shutdown margin,
• úroveň odvodu zbytkového tepla,
• teplota a tlak v primárním okruhu,
• úroveň hladiny chladiva v bazénu výměny, v BS,
• otevřený nebo uzavřený reaktor,
• počet provozovaných smyček primárního okruhu,
• umístění paliva (palivo v AZ, všechno palivo vyvezeno do BS),
• dostupnost bezpečnostně významných systémů a jejich podpůrných systémů včet-
ně specifikace toho, kdy mohou být spuštěny automaticky a kdy pouze manuálně,
• konfigurace systémů,
• integrita kontejnmentu, obtok (bypass) kontejnmentu.

Jednotlivé PSA stavy musejí být stanoveny na základě skutečné provozní zkušenosti a v souladu s vnitřními předpisy a závaznými postupy pro provoz na nízkém výkonu a při odstávce. V závislosti na typu odstávky musí být podrobně analyzován dostatečný počet proběhlých odstávek pro zjištění potřebných informací o průběhu daného typu odstávky. Zdroje informací využitých pro tyto účely mohou být následující:

• obecné zásady pro plánování odstávek,
• vnitřní předpisy pro odstavování a najíždění bloku,
• harmonogramy jednotlivých proběhlých odstávek,
• Limity a podmínky provozu JE pro odstávky,
• návody pro řízení konfigurace zařízení,
• další relevantní dokumentace poskytující informace o odstávkách,
• záznamy o provedené údržbě (doba provádění údržby specifických zařízení JE),
• konzultace s operátory a vedoucími reaktorového bloku,
• konzultace s pracovníky, kteří plánují odstávky a připravují harmonogramy průbě-
hu odstávek,
• výstupy z aktuálně používaných monitorů rizika při jejich nasazení do procesu
plánování odstávek a jejich zpětného vyhodnocení z pohledu okamžitého a kumu- lativního rizika.

Při stanovování jednotlivých PSA stavů je třeba mít na zřeteli i budoucí aplikace PSA, z nichž některé, jako například monitor rizika, vyžadují podrobnější rozdělení nízkovýko- nových a odstávkových stavů než by bylo nutné pro účely základní verze PSA poskytu- jící celkový obrázek o riziku provozu.

Aby bylo zajištěno, že bude optimálně pokryt celý provozní cyklus JE, tj. že nedojde ke ztrátě příspěvků k riziku od některých provozních stavů a současně nebude dvakrát za- hrnut některý stav nebo jeho část, je třeba přesně specifikovat přechody mezi jednotli- vými PSA stavy na základě informací z historie provozu JE.

Analýza iniciačních událostí

Identifikace IU pro zařazení do modelu PSA se provádí obdobně jako v PSA 1. úrovně pro provoz bloku na výkonu (viz kapitola 3.4.3.2 Návodu). Opět je třeba identifikovat IU typu LOCA, transienty, a IU generované projevy vnitřních a vnějších rizik. Předběž- ně je možno vyjít z generického seznamu IU, který byl vytvořen během zpracování PSA 1.úrovně při provozu bloku na výkonu. Tento seznam je dále modifikován a rozšířen na základě následujících odstavců.

AZ se může během odstávky, v závislosti na jednotlivých provozních stavech, nacházet v různé konfiguraci, například palivo může být v AZ nebo může být vyvezeno do bazé- nu skladování. Z toho plyne, že v PSA pro nízkovýkonové stavy a odstávku je nutno uvažovat i jiné koncové stavy havarijních sekvencí, než poškození paliva v AZ – tedy poškození paliva obecně (i mimo AZ). Pro tlakovodní reaktory se obvykle zkoumají ná- sledující případy:

• poškození paliva při manipulacích s ním,
• poškození paliva v důsledku pádu těžkého břemene,
• dosažení kritičnosti v důsledku změn v konfiguraci palivových elementů (jak
v TNR, tak v bazénu skladování),
• ztráta chlazení bazénu skladování.

Pro nevýkonové stavy se musejí uvažovat i IU, které jsou odlišné od IU zahrnutých do PSA modelu při provozu bloku na výkonu. Řada IU může být způsobena lidským zása- hem během provádění údržby zařízení. Většina IU, které jsou zajímavé z pohledu PSA pro nízký výkon a odstávku jsou události, které ohrožují plnění kritických bezpečnost- ních funkcí, jako například odvod tepla, objem chladiva v I.O., integrita I.O. a řízení re- aktivity.

Při doplňování generického seznamu IU sestaveného pro PSA model provozu bloku na výkonu je možno využít následující systematické nástroje:

• systematickou aplikaci analytických metod jako například FMEA, master logic di-
agramů, stromů poruch,
• systematické zhodnocení všech relevantních vnitřních předpisů pro změnu konfi-
gurace systémů chlazení AZ i BS a vnitřních předpisů pro provádění údržby a tes- tů.

Jedním z klíčových momentů při definování spektra iniciačních událostí pokrytých mo- delem PSA pro provoz JE na nízkém výkonu a při odstávce je identifikace potenciálních lidských selhání, ke kterým může dojít při provádění činností uvedených ve vnitřních předpisech upravujících činnost obsluhy při manipulacích se zařízením. Specialisté z týmu PSA zaměření na problematiku lidského faktoru musejí konzultovat provozní praxi přímo se specialisty JE řídícími změny konfigurace zařízení a využít pro analýzu jejich praktické zkušenosti.

Pro zajištění kompletnosti seznamu IU v LPSPSA 1. úrovně musí být využity následují- cí možné zdroje informací:

• seznam IU pro PSA 1. úrovně při provozu na výkonu,
• LPSPSA 1. úrovně pro JE stejného typu,
• historie provozu dané JE,
• zkušenosti z provozu na nízkém výkonu a odstávek dalších JE stejného typu,
• obecnější informace z provozu JE během nízkovýkonových stavů a z odstávek
(generická data).

Z obecnější informace z dostupných informačních zdrojů lze využít například následují- cí:

• generické studie (například informace o událostech ředění bóru zapříčiněných ne-
žádoucím průnikem čistého kondenzátu do AZ),
• zprávy o výskytu událostí na dané JE,
• zprávy o událostech vyskytnuvších se na jiných JE podávané mezinárodními orga-
nizacemi a skupinami provozovatelů JE.

IU musejí být opět vhodně seskupeny na základě podobných zásad jako v PSA pro pro- voz na výkonu, viz kapitola 3.4.3.2 Návodu, odst. (3.90) – (3.91). Skupiny IU musejí zahrnovat pouze takové jednotlivé IU, které lze analyzovat pomocí stejného stromu udá- lostí a stejných stromů poruch, tj. musejí být pro ně rozvíjeny stejné havarijní sekvence. Pro sdružování více IU do jediné skupiny lze obecně zformulovat následující pravidla:

• všechny IU sdružené ve skupině mají podobný vliv na dostupnost a provoz bez-
pečnostně významných systémů a jejich podpůrných systémů,
• všechny IU sdružené ve skupině mají podobná kritéria úspěchu pro bezpečnostní
systémy, podpůrné systémy a ostatní systémy potřebné pro zmírnění následků dané IU,
• při všech IU sdružených ve skupině se generují podobné požadavky na činnost
operátora,
• očekávaná odezva provozního personálu vycházející z vnějších podmínek pro jeho
práci je podobná pro všechny IU sdružené ve skupině,
• PDS přiřazené ke koncovým stavům havarijních sekvencí jsou stejné pro všechny
IU sdružené ve skupině.

Dostupnost systémů a kritéria úspěchu je pro identické IU obecně různá pro různé PSA stavy. Z tohoto důvodu není možno ve většině případů seskupovat IU napříč PSA stavy. Takové seskupování není ani praktické z pohledu dalšího rozvoje a kvantifikace PSA modelu, protože přehledným způsobem prezentace výsledků je jejich uvedení „po jed- notlivých provozních stavech“.

V některých případech mohou z praktických důvodů skupiny IU zahrnovat události, kte- ré nesplňují pravidla uvedená v odstavci (3.457), tj. jde o události v nějakém smyslu od- lišné. V takovém případě musí být vlastnosti skupiny IU důležité pro tvorbu modelu PSA definovány na základě té události ze skupiny, která má nejvíce konzervativní cha- rakteristiky (tj. jejíž model poskytuje nejvyšší hodnoty odvozených ukazatelů rizika).

Stejně jako v případě PSA pro nominální výkon musí kvantifikace frekvencí IU sledo- vat standardní postupy uvedené v kapitole 3.4.3.8 Návodu, odst. (3.165) – (3.168). Kvantifikace frekvencí IU vznikajících při nízkovýkonových stavech a při odstávce mu- sí přihlížet ke specifikům daných provozních režimů, jako je například konfigurace zaří- zení a jeho dostupnost, Limity a podmínky provozu a organizace odstávky včetně čin- ností při výměně paliva popsaná provozní zkušeností.

Frekvence IU vzniklých při odstávce může být uváděna jako očekávaná četnost výskytu události za hodinu v daném PSA stavu. Toto pojetí frekvence je však nevhodné, pokud IU nastane v důsledku události, která souvisí s charakteristikami daného PSA stavu ne- závislými na délce jeho trvání (například některé IU mohou přímočaře souviset s prováděním speciálních testů nebo s přechodovými stavy JE, naprosto bez vazby na délku trvání daného PSA stavu).

V zásadě existují tři možné přístupy ke kvantifikaci frekvencí IU pro model LPSPSA:

• přímé stanovení frekvence na základě provozních zkušeností podpořené statistic-
kou analýzou (buď data přímo z analyzované JE, nebo data z jiných JE se stejným nebo podobným typem reaktoru, designu a provozu),
• odhad na základě doplňkových analýz frekvencí IU stanovených v PSA 1. úrovně
pro provoz bloku na výkonu, zohledňujících identický charakter IU pro provoz na nízkém výkonu a při odstávce nebo zjištěné odlišnosti, které zásadně nemění cha- rakter IU,
• využití logicko-pravděpodobnostního modelu postihujícího všechny předvídatelné
havarijní scénáře vedoucí k dané IU.

Selhání zařízení nebo lidského prvku, která mohou způsobit vznik IU, nelze sdružit a je nutné je modelovat separátně a explicitně v těch případech, kde je nutné v modelu PSA správně postihnout závislosti mezi selháními vyvolávajícími vznik IU, (například selhá- ní, jehož důsledkem je ztráta odvodu zbytkového tepla) a selháními během odezvy JE na danou IU (například selhání obnovení funkce odvodu zbytkového tepla).

Konečný výsledek přiřazení jednotlivých IU ke konkrétním PSA stavům musí být v dokumentaci analýzy přehledně uveden, například formou tabulky obsahující na jedné ose soubor provozních stavů a na druhé ose soubor identifikovaných IU.

Analýza havarijních sekvencí Bezpečnostní funkce, bezpečnostní systémy a kritéria úspěchu

Obecný přístup k analýze havarijních sekvencí je popsán v kapitole 3.4.3.3 Návodu. Ačkoli úroveň zbytkového tepla během odstávek je obecně mnohem nižší než v okamžiku odstavení bloku provozovaného na nominálním výkonu, charakteristiky možných konfigurací zařízení JE mohou přesto dát vzniknout událostem ohrožujícím bezpečnostní funkce. Analýza se proto má soustředit na následující aspekty:

• během odstávek může být znemožněn automatický start bezpečnostních systémů,
dostupnost zařízení může být omezena a roste závislost na činnostech operátora,
• integrita primárního okruhu a kontejnmentu není zaručena,
• relativní účinnost prvosledových bezpečnostních systémů bude obecně vyšší, ale
bude záviset na konkrétní IU, charakteristikách daného PSA stavu a na úrovni zbytkového tepla,
• kritéria pro splnění funkce systému použitá při stanovení kritérií úspěchu pro kon-
krétní systémy mohou být odlišná od kritérií úspěchu použitých v PSA 1.úrovně pro provoz bloku na výkonu. Analýzy umožňující stanovení kritérií úspěchu

Stromy poruch zkonstruované v rámci PSA pro provoz bloku na výkonu musí být upra- veny dle potřeby. I když by logická struktura a odezva systému zůstala v podstatě stejná jako při výkonovém provozu bloku, je třeba zohlednit možné změny v dostupnosti komponent nebo systémů během odstávek.

Správnost předpokladů týkajících se chlazení AZ či BS musí být potvrzena podpůrnými termohydraulickými analýzami pro stanovení realistických kritérií úspěchu. Při přecho- dových stavech během odstavování a najíždění bloku a při setrvání bloku v horké rezer- vě zůstávají provozní podmínky a konfigurace zařízení v některých případech podobné jako při přechodových stavech vzniklých při provozu na výkonu a jsou použitelné vý- sledky termohydraulických výpočtů pro výkonový provoz. V ostatních případech musí být provedeny nové termohydraulické analýzy sloužící pro podporu stanovení kritérií úspěchu v nevýkonových stavech. Příslušné modely a výsledky výpočtů odrážejí přede- vším:

• stav tlakové hranice primárního okruhu,
• sejmuté nebo roztěsněné víko reaktoru,
• vyřazení pojistných ventilů nebo otevření odvzdušnění I.O.,
• oddělené smyčky nebo instalované záslepky, rozpěrné zátky, atd.,
• úroveň hladiny napájecí vody v PG,
• parametry I.O. (teplota, tlak, přítomnost nekondenzujícího plynu, shutdown mar-
gin),
• hladinu chladiva v I.O.,
• úroveň zbytkového tepla,
• těsnost kontejnmentu.
Modelování havarijních sekvencí

K modelování odezvy zařízení a provozního personálu JE na IU se opět používají stro- my událostí. Je dobrou praxí si před vlastním modelováním havarijní sekvence podrob- ně graficky znázornit její průběh včetně lidských zásahů. Modelování havarijní sekven- ce musí provádět multidisciplinární tým od počátku zahrnující rovněž specialistu na analýzu lidského faktoru. Koncové stavy havarijních sekvencí, stavy poškození AZ

Stejně jako v PSA 1. úrovně pro výkonový provoz se havarijní sekvence seskupují do PDS s cílem zredukovat počet vstupů do dalších analýz PSA 2.úrovně, případně PSA 3. úrovně a získat možnost prezentovat výsledky PSA v kompaktním formátu. Očekávaný rozvoj těžké havárie po poškození paliva, včetně možného narušení integrity kontejn- mentu, a následný transport radionuklidů do okolí musí být kvalitativně obdobný pro všechny havarijní sekvence seskupené do jediného PDS. Při použití moderních analy- tických nástrojů pro modelování havarijních sekvencí až do jednotlivých kategorií úniků RaL není nutno seskupovat koncové stavy havarijních sekvencí do PDS.

Pro bezpečnostně významné systémy musejí být stanoveny vhodné požadované doby provozu pro naplnění jejich funkce ve scénářích odezvy na vznik iniciační události zo- hledňující specifické charakteristiky a časování uvažovaných přechodových procesů.

Výběr PDS pro nízkovýkonové stavy a odstávku vychází z množiny PDS stanovených v PSA pro výkonový provoz. V rámci LPSPSA jsou však dále identifikovány další PDS odlišné od PDS pro provoz na výkonu. Například je nutné ustanovit specifický PDS pro provozní stav, kdy je sejmuto víko reaktoru nebo je otevřen průlez do kontejnmentu (tj. obecně roztěsněný kontejnment). Při specifikaci konkrétních PDS se berou v úvahu ale- spoň následující charakteristiky havarijních sekvencí:

• úroveň zbytkového tepla během daného PSA stavu (přímo spojená s délkou období
od odstavení bloku z provozu na nominálním výkonu),
• stav kontejnmentu – zejména pro provozní stavy, kdy kontejnment je otevřen,
• podmínky, které určují dobu do obnovení integrity kontejnmentu a potenciálně re-
dukují efektivitu (těsnost) kontejnmentu během této doby,
• integrita tlakové hranice I.O., pokud je sejmuto víko reaktoru, jsou instalovány zá-
slepky/rozpěrné zátky, odstraněny pojistné ventily, je otevřeno odvzdušnění I.O., atd.,
• objem chladiva v I.O.

Vhodně specifikované PDS jsou rozhodující pro vhodnou interpretaci výsledků PSA.

Analýza systémů

Obdobně jako v PSA pro výkonový provoz je cílem analýzy systémů podrobně namode- lovat možná selhání postulované funkce zařízení. Pro modelování selhání funkce systé- mu se využívá metoda stromů poruch. Stromy poruch sestrojené v rámci PSA pro výko- nový provoz (viz kapitola 3.4.3.4 Návodu) mohou být v odůvodněných případech pou- žity přímo nebo v modifikované podobě. Důkladná revize stávajících stromů poruch, případně konstrukce nových stromů je typická zejména pro následující případy:

• existující model reprezentovaný stromem poruch nevyhovuje pro popis specific-
kého chování systému v různých PSA stavech (například v těch případech, kdy je konfigurace systému rozdílná v důsledku provádění údržby),
• systém, který byl ve vyčkávacím režimu během provozu bloku na výkonu, je bě-
hem odstávky v aktivním provozu,
• systém je během odstávky startován ručně operátorem, zatímco při provozu bloku
na výkonu automaticky,
• požadovaná doba provozu pro systém je významně odlišná pro různé provozní sta-
vy,
• kritéria úspěchu zajištění funkce systému se mění v závislosti na podmínkách pro-
vozu v jednotlivých provozních stavech,
• počet původně dostupných linií konkrétního systému je rozdílný během různých
provozních stavů (například z důvodu pravidelné nebo i korektivní údržby),
• časová okna se významně odlišují pro možné varianty stavu JE s určujícím vlivem
na pravděpodobnost úspěchu nápravných akcí,
• daný systém vůbec nebyl z různých důvodů součástí logické struktury PSA mode-
lu pro provoz bloku na výkonu, například i proto, jelikož by byl potřeba až v rámci PSA 2.úrovně,
• existující specifické vzájemné propojení jednotlivých systémů v konfiguraci pou-
žité pouze v LPSPSA.

Analýza závislostí

Cílem této části analýzy je identifikace závislostí, které mohou ovlivnit logickou struk- turu a kvantifikaci havarijních sekvencí a modelů systémů primárně vystavěných na předpokladu nezávislosti. Hlavními typy závislostí jsou z tohoto hlediska funkční závis- losti systémů zajišťujících chlazení reaktoru a pomocných systémů; sdílení hardware mezi systémy nebo propojení technologie, fyzikální závislosti včetně závislostí způso- bených přímo či nepřímo vznikem IU, závislosti mezi lidskými selháními a reziduální závislosti typu CCF. Tyto závislosti musejí být zahrnuty do analýz podobně jako v PSA modelu pro provoz na výkonu - viz požadavky vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 6, odst. 1, písm. l), m)a odst. 2 [P6]).

V prvním kroku analýzy závislostí pro model provozu na nízkém výkonu a při odstávce je vhodné vyjít z PSA modelu pro výkonový provoz a prověřit jeho aplikovatelnost na provoz systémů JE v jednotlivých PSA stavech. Široké spektrum testů a údržby zařízení může vytvořit při provozu na nízkém výkonu a zejména při odstávce nové zdroje závis- lostí, jako například současnou údržbu nebo opravy komponent na záložních trasách konkrétního systému.

Hlavním aspektem revize modelu pro provoz bloku na výkonu z hlediska závislostí jsou případy, kdy kritéria úspěchu jsou pro nízkovýkonové stavy a odstávku odlišná od pro- vozu bloku na výkonu a situace s odlišnými podmínkami pro provoz podpůrných sys- témů, například ventilačních systémů nebo na systémů elektrického napájení. Obecně je třeba postihnout i mechanismy vzniku CCF typické pro odstávku.

V případě residuálních CCF je třeba obecně postihnout mechanismy vzniku CCF typic- ké pro odstávku, včetně potenciálního vlivu údržby a dalších specifických aktivit.

Analýza lidského faktoru

V kapitole 3.4.3.7 Návodu jsou uvedeny klíčové aspekty analýzy lidského faktoru, které jsou obecně platné i v podmínkách nízkovýkonových stavů a odstávky. Důležitým vý- sledkem analýzy jsou pravděpodobnosti selhání lidských akcí prováděných při provozu na nízkém výkonu a při odstávce, které jsou konzistentní jednak navzájem, jednak i s pravděpodobnostmi selhání akcí realizovaných při provozu na výkonu.

V analýze je třeba adekvátně zohlednit charakteristické rysy podmínek provozu u níz- kovýkonových stavů a odstávky, jako například využití pracovníků externích organizací při provádění údržby, možné využívání přesčasové práce a nárůst požadavků na činnosti prováděné z blokové dozorny. Rovněž je třeba věnovat pozornost problémům kontroly prováděných prací a stresu v důsledku relativně napjatých plánů činností.

Analýza lidského faktoru musí rovněž zohlednit charakteristiky spolupráce mezi pro- vozním personálem (operátory BD) a pracovníky provádějícími údržbu ve specifických podmínkách provozu na nízkém výkonu a odstávky. V případě nového jaderného zdro- je, kde se JE nachází teprve ve fázi projektování nebo výstavby, analytik využije infor- mace založené na praktických zkušenostech pracovníků v JE podobného typu. Typ A – lidská selhání u akcí prováděných před vznikem IU

Tento typ selhání souvisí s prováděním testů, údržby, oprav a s kalibrací zařízení; pokud tyto činnosti nejsou správně provedeny, mohou vést k neprovozuschopnosti zařízení po vzniku IU. Postup identifikace a kvantifikace těchto selhání je podobný jako v PSA pro výkonový provoz, ale musí brát v úvahu některá specifika nízkovýkonových stavů a od- stávky, jako například:

• funkční testy prováděné bezprostředně před koncem odstávky mohou být provádě-
ny pod časovým tlakem, což obecně zvyšuje potenciál pro lidská selhání,
• omezená dostupnost automatik (například není k dispozici signál od automatik na
uzavření armatury, která byla zanechána v otevřené poloze po provedení testu). Typ B – lidské akce, jejichž selhání může způsobit IU

Vzhledem k velké rozmanitosti různých aktivit údržby, testů i změn konfigurace zaříze- ní, které mohou být subjektem potenciálního selhání, není v praxi provozní zkušenost postačujícím zdrojem informace pro odhad frekvencí IU. Odhad frekvencí IU, k jejichž vzniku přispívá lidské selhání, se proto provádí s využitím metod HRA, včetně možné identifikace a analýzy závislostí mezi lidskými akcemi typu B a C.

Při analýze lidských selhání typu B se v tomto případě využívají následující zdroje in- formací:

• vnitřní předpisy pro najíždění a odstavování bloku,
• provozní zkušenost,
• dokumentace plánování odstávek,
• Limity a Podmínky provozu na nízkém výkonu a při odstávce,
• vnitřní předpisy pro údržbu a testování zařízení.

K odvození pravděpodobností lidských selhání typu B lze použít běžné metody kvanti- fikace tak, jak je naznačeno v kapitole 3.4.3.7 Návodu, odst. (3.154) – (3.156). Typ C – lidská selhání u akcí prováděných po vzniku IU

Selhání těchto lidských zásahů představují relativně významného přispěvatele k celkové CDF (FDF) v mnoha LPSPSA. Proto je třeba věnovat velkou pozornost realistickému ocenění pravděpodobnosti jejich vzniku.

Zvolená metodika musí systematicky zohledňovat specifické aspekty modelování a kvantifikace akcí typu C v podmínkách nízkovýkonových stavů a odstávek, zejména:

• zapůsobení alarmů nebo naopak vyblokované alarmy,
• kvalitu vnitřních předpisů a návodů pro provoz na nízkém výkonu a při odstávce,
• úroveň výcviku a zkušenosti operátorů pro specifické scénáře provozu na nízkém
výkonu a při odstávce,
• délku časových oken pro provádění akcí (obvykle větší než pro obdobné bezpeč-
nostně důležité akce obsluhy BD při provozu na výkonu, v některých případech mnohem delší),
• kvalitu rozhraní, která usnadňují lidské zásahy při nízkovýkonových stavech a při
odstávkách.

Pravděpodobnosti lidských selhání odvozené pro krátká dostupná časová okna při pro- vozu na výkonu nelze přímočaře přenášet na obdobné akce obsluhy prováděné při od- stávce v těch případech, kdy jsou v důsledku nižší dynamiky dostupná časová okna mnohem delší.

Potenciál pro chybnou diagnózu situace (identifikaci IU) je obecně vyšší v těch přípa- dech, kdy jsou používány událostně, a nikoli symptomově orientované havarijní předpi- sy.

Stejně jako v PSA pro výkonový provoz musí být věnována pozornost možným závis- lostem mezi jednotlivými lidskými zásahy v jedné havarijní sekvenci, viz kapitola

Analýza dat

Spolehlivostní data potřebná pro kvantifikaci LPSPSA 1. úrovně se tematicky váží na:

• frekvence IU,
• data využitelná pro kvantifikaci pravděpodobnosti lidských selhání,
• délky trvání jednotlivých PSA stavů v souladu s jejich definicí,
• spolehlivostní data pro komponenty,
• data charakterizující nedostupnost zařízení z důvodu provádění údržby nebo testů
včetně překrývání údržeb zařízení na více liniích provozovaných systémů,
• specifická provozní zkušenost a generické údaje pro ocenění CCF,
• další údaje dle potřeby (AOT, atd.).

Základní přístup pro získávání potřebných spolehlivostních údajů je zmíněn v kapitole

Data pro kvantifikaci spolehlivosti komponent specifická pro nízkovýkonové stavy a odstávky jsou k dispozici v menší míře než analogická data pro komponenty při provozu bloku na výkonu. Široce se proto využívá přístup, kdy se pro účely LPSPSA modifikují data pro výkonový provoz. Analytik se při tom ale musí ujistit o možnostech přenositel- nosti aplikovatelnosti takových údajů.

Většina testů prováděných v průběhu plánované odstávky bloku slouží k verifikaci funkčnosti zařízení, na němž byla předtím v rámci odstávky prováděna údržba, jedná se tedy o funkční testy před opětným uvedením zařízení do provozu. Stanovená nepohoto- vosti z důvodu testu nebo údržby je vztažena k průměrné době testu a k trvání PSA sta- vu, v němž se daný test na konkrétním zařízení provádí.

Při kvantifikaci pravděpodobností lidských selhání musejí být zváženy dopady možného přechodu na ruční ovládání stavu komponent a systémů.

Při analýze musí být rovněž zvážena možnost oprav zařízení s cílem významně zvýšit dostupnost bezpečnostně významných systémů v jednotlivých PSA stavech reprezentu- jících nízkovýkonové provozní stavy a odstávku. Zanedbání oprav zařízení může v některých případech vést k významnému nadhodnocení celkového rizika, zejména v havarijních scénářích, při nichž existuje značná pravděpodobnost rozpoznání možnosti provedení specifické opravy. „Oprava“ zde zahrnuje možnost provedení nápravné akce v tak krátkém čase, že se daná komponenta ještě zúčastní úspěšného zvládnutí daného rozvoje havarijních podmínek. Podmínkou pro uvážení opravy zařízení v modelu PSA je to, že zkušenost z provozu JE ukazuje na reálnou možnost skutečného vykonání tako- vé nápravné akce, tj. především ty případy, kdy je akce podpořena odpovídajícím hava- rijním předpisem.

Při analýze nepohotovosti z důvodu údržby je třeba zvážit závislosti dob opravy na kon- krétních PSA stavech. Odlišnosti mezi dobou opravy/údržby jsou způsobeny odlišnou dostupností systémů a zařízení, dostupností pracovníků schopných opravu provést, do- stupností náhradních dílů a v některých havarijních sekvencích rovněž úrovní radiace v okolí opravovaných komponent.

Konfigurace dostupného zařízení může být při provozu na nízkém výkonu a při odstáv- ce posílena v důsledku faktu, že některá zařízení nacházející se při provozu bloku na výkonu v režimu vyčkávání, mohou být při nízkovýkonových stavech a při odstávkách v provozu.

Pokud se odstávky provádějí tak, že se postupně využívají jednotlivé záložní linie sys- témů (případně záložní komponenty), je třeba zvolit tomu odpovídající model.

V modelech, pomocí nichž se počítají pravděpodobnosti toho, že zařízení v provozu sloužící udržení nebo dosažení bezpečného stabilního stavu po vzniku IU během tohoto provozu selže, se využívá požadovaná doba provozu. Požadovaná doba provozu zařízení účastnícího se odezvy na vznik IU může mít významný dopad na napočtené pravděpo- dobnosti selhání systémů. Předpoklady vztahující se k požadované době provozu musí být konzistentní s modelováním konkrétních havarijních sekvencí a její stanovení musí být zdůvodněno, viz požadavek vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 6, odst. 1, písm. b)[P6].

Pokud jsou jedním ze subjektů analýzy očekávané změny v procedurách odstávky, může to ovlivnit platnost získaných spolehlivostních dat. Změny v procedurách mohou být ta- kové, že dostupné informace z provozní zkušenosti poskytnou relevantní data, nebo bu- de nutné dostupnou informaci pojmout novým způsobem.

Pro spolehlivostní parametry použité v PSA 1. úrovně se musí uvádět nejen střední hod- nota, ale rovněž příslušná distribuční funkce a její další parametr; uvedené je potřeba pro provádění analýzy neurčitostí.

Kvantifikace, MKŘ, importanční míry Kvantifikace havarijních sekvencí

Kvantifikace havarijních sekvencí se provádí analogicky jako v PSA 1. úrovně pro pro- voz na výkonu, viz kapitola 3.4.3.9 Návodu.

Při zpracování výsledků kvantifikace je třeba věnovat velkou pozornost kontrole MKŘ. Je vhodné provést křížovou kontrolu MKŘ pro podobné havarijní sekvence nebo sys- témy v různých PSA stavech, aby bylo zajištěno, že budou skutečně zohledněny všech- ny rozdíly mezi jednotlivými PSA stavy a havarijními sekvencemi, a aby byly odhaleny případné chyby v modelu. Analýza importančních měr, citlivostní studie a analýza neurčitostí

Pro analýzy neurčitostí a citlivostní studie musí být využit analogický přístup jako v PSA pro výkonový provoz (viz kapitola 3.4.3.10 Návodu). Stejná zásada platí i pro analýzu importančních měr, viz kapitola 3.4.3.9 Návodu, odst. (3.176) - (3.182).

Citlivostní studie představují významnou část analýz v rámci LPSPSA; zaměřují se na analýzu potenciálního vlivu řady faktorů specifických pro LPSPSA, které pro jednotlivé stavy nabývají specifických hodnot. Rozdíly mezi jednotlivými provozními stavy je tře- ba detailně zkoumat a vhodně svázat s předpoklady, zejména v těch případech, kdy předpoklady použité při modelování konkrétního PSA stavu mají za následek významný příspěvek k riziku provozu JE v daném provozním stavu i přes všechny stavy.

Dokumentace a prezentace výsledků

Do dokumentace PSA 1. úrovně musí být zahrnuta i část dokumentující LPSPSA, viz požadavky uvedené ve vyhlášce č. 162/2017 Sb., o požadavcích na hodnocení bezpeč- nosti podle atomového zákona, § 12 [P6].

Výsledky získané v každém dílčím kroku LPSPSA diskutované v předchozích kapito- lách musejí být zdokumentovány společně s inženýrskými nálezy získanými z analýzy. V dokumentaci LPSPSA musí být obsaženo i zhodnocení celkových výsledků LPSPSA včetně úhrnné hodnoty rizika provozu v nevýkonových stavech a rozboru neurčitostí - viz požadavky na obsah dokumentace PSA uvedené ve vyhlášce č. 162/2017 Sb., o po- žadavcích na hodnocení bezpečnosti podle atomového zákona, § 12 [P6].

Často se stává, že na základě předběžných výsledků analýz jsou zdokonaleny či nově zavedeny vnitřní předpisy pro údržbu a provoz. Tento aspekt spadající tematicky do ob- lasti „Aplikace PSA“ a prokazující užitečnost PSA je vhodné v dokumentaci rovněž zmínit.

Finální výstupem analýzy rizika (podobně jako u rizika provozu na výkonu) je shrnutí obecných závěrů a případná doporučení pro možné zvýšení úrovně jaderné bezpečnosti, radiační ochrany, monitorování radiační situace a zvládání radiační mimořádné události, vyplývající z provedené analýzy, viz požadavky na dokumentaci PSA uvedené ve vy- hlášce č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zá- kona, § 12 [P6]. V dokumentaci musejí být uvedeny v přiměřeném rozsahu využitelném pro integrované rizikově informované rozhodování: a)celková informace z PSA 1.úrovně platná sumárně pro všechny PSA stavy i IU pro PSA model dané JE i)příspěvky dominantních sekvencí k CDF (FDF), ii) příspěvky jednotlivých PSA stavů k CDF (FDF), iii) příspěvky jednotlivých skupin IU k CDF (FDF), iv) výsledky analýzy neurčitostí, v)výsledky analýzy importančních měr a citlivostních studií. b)výsledky PSA 1.úrovně pro jednotlivé PSA stavy v obdobném rozsahu jako globální výsledky definované v textu písmene a)tohoto odstavce. c)Popis interface mezi PSA 1.a 2.úrovně obsahující charakteristiky a frekvence jednot- livých PDS. d)Kvalitativní zjištění a závěry důležité pro proces integrovaného rizikově informované- ho rozhodování držitele povolení i správního orgánu (SÚJB) i)interpretace výsledků a inženýrské nálezy, ii) závěry a doporučení k řešení bezpečnostní problematiky.

V dokumentaci LPSPSA 1. úrovně musejí být dále obsaženy následující informace:

• MKŘ významně přispívající k celkové CDF (FDF),
• dle potřeby i MKŘ významně přispívající k CDF (FDF) v jednotlivých PSA sta-
vech,
• příspěvky lidských selhání a CCF k celkové CDF (FDF),
• nezanedbatelné příspěvky jednotlivých nezávislých selhání zařízení k celkové
CDF (FDF),
• příspěvky k celkové CDF (FDF) od jednotlivých systémů uvažovaných v PSA.

Koncové stavy havarijních sekvencí, které se týkají poškození paliva v bazénu sklado- vání nebo stavy zahrnující kritičnost výkonu včetně jejich frekvencí, musejí být rovněž posouzeny a výsledky analýzy zdokumentovány.

Aplikace PSA

Tato kapitola stručně rozebírá požadavky, které mají být splněny při provádění jednotli- vých aplikací PSA. Podrobnější informace je možno též nalézt například ve star- ších materiálech IAEA [G10], [G11], [G13].

Při využívání PSA pro konkrétní aplikaci je vždy třeba správně zhodnotit omezení, která dané PSA má z pohledu dané aplikace, viz požadavek vyhlášky č. 162/2017 Sb., o po- žadavcích na hodnocení bezpečnosti podle atomového zákona, § 11, odst. 6 [P6]).

Požadavky na PSA

Obecně je požadováno, aby pro aplikace bylo k dispozici plnorozsahové PSA 1. a 2. úrovně pro výkonové stavy i pro odstávky, obsahující plné spektrum všech reálně mož- ných IU včetně vnitřních a vnějších rizik, viz požadavek vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 5, odst. 1 a 2 [P6]). Podmínkou použití PSA pro aplikace je, aby PSA byla zpracována s požadovanou úrov- ní kvality, viz odst. (3.16) – (3.18) Návodu, a musí též být již provedena její nezávislá kontrola, viz odst. (3.29) tohoto Návodu.------------------------------------------------------ Poznámka: Tato část Návodu se soustředí pouze na PSA 1.úrovně. Specifika pro využití PSA 2.úrovně v aplikacích jsou uvedena v kapitole 3.5.7 Návodu.

Aby bylo možno reálně využívat PSA pro aplikace v dané konkrétní době, je třeba PSA model pravidelně aktualizovat, aby odpovídal současnému stavu poznatků o JE (zahrnu- tí nově prováděných termo-hydraulických a dalších analýz), současnému stavu JE (za- hrnutí všech provedených změn či modifikací zařízení i vnitřních předpisů včetně hava- rijních provozních předpisů a návodů pro zvládání těžkých havárií, které mohou mít vliv na jevy modelem zachycené) i obecně stávající úrovni vědy a techniky a správné praxe – viz kapitola 3.3.3, odst. (3.30) – (3.32) v tomto Návodu.

Při posuzování použitelnosti PSA pro jednotlivé aplikace, jakož i při posuzování prove- dení konkrétní aplikace se hodnotí následující faktory:

• zda PSA reprezentuje skutečný stav JE (jak zařízení, tak vnitřních předpisů včetně
havarijních provozních předpisů a návodů pro zvládání těžkých havárií),
• zda byl model vytvořen v souladu s aktuálně mezinárodně uznávanou metodikou a
v souladu se správnou praxí,
• zda model zahrnuje nejnovější poznatky a informace (například zda odpovídá vý-
sledkům provedených termo-hydraulických a dalších analýz),
• zda PSA správně zachycuje vztahy mezi jednotlivými prvky zařízení JE a činností
provozního personálu,
• zda byla správně stanovena spolehlivostní data primárních událostí modelu PSA
(frekvence vzniku jednotlivých IU, pravděpodobnosti selhání komponent a prav- děpodobnosti selhání obsluhy),
• zda byly v nutných případech použity vhodné předpoklady modelování,
• zda byla správně zhodnocena omezení a neurčitosti PSA při analýze,
• zda bylo celé PSA vhodně zdokumentováno s důrazem na body uvedené v tomto
odstavci (zda je možno kompletně vysledovat postup použitý při příslušné analýze a správně porozumět jejím výsledkům).

Pokud dané specifické PSA má být využíváno pro více podobných bloků provozova- ných v daném areálu, musejí být identifikovány všechny případné rozdíly mezi blokem, pro který bylo PSA primárně vytvořeno a ostatními bloky s očekávaným nezanedbatel- ným vlivem na bezpečnost provozu a zhodnocen vliv těchto rozdílů na výsledky PSA.

Integrovaný rizikově informovaný rozhodovací proces

Obecně platí, že ve všech aplikacích PSA by měly závěry získané z PSA vstupovat do procesu integrovaného rizikově informovaného rozhodování, které společně zohledňuje:

• závazné požadavky, které se týkají předmětu PSA aplikace (legislativní rámec),
• závěry získané z deterministických analýz,
• závěry získané z pravděpodobnostního hodnocení (PSA),
• provozní zkušenosti, výsledky kontrol, analýzu nákladů a rovněž dávky (ozáření),
kterým by byli vystaveni pracovníci při provádění změn na zařízení JE,
• případně vyjádření výrobce zařízení.

Hodnocení projektu pomocí PSA, kapitola 3.5.7 Využití a specifické aplikace PSA 2.úrovně – její podka- pitoly 3.5.7.2 Využití PSA 2. úrovně pro hodnocení pro- jektu, 3.5.7.3 Zvládání těž- kých havárií Issue S: Protection against In- ternal Fires

PSA musí být využito již během projektování JZ, kdy může pomoci odhalit slabá místa projektu. Změny projektu provedené v této fázi jsou z pohledu finančních nákladů ne- jefektivnější. Využití PSA k hodnocení projektu pak pokračuje během celého životního cyklu JE.

PSA se musí využívat při projektování a během celého životního cyklu JE v následují- cích základních procesech:

• proces předběžného posouzení, zda návrh projektu bezpečnostních systémů, pod-
půrných systémů a celkové navrhované řešení JE je adekvátní z bezpečnostního hlediska,
• proces aktualizace předběžné analýzy PSA na základě nových konkrétnějších in-
formací, které se objeví během detailního projektování a výstavby JE,
• proces udržování PSA během provozu a vyřazování JE jako „živé PSA“ a využí-
vání jako nástroj při rozhodování o potřebě či adekvátnosti navrhovaných změn projektu či provozu a pro posuzování úrovně jaderné bezpečnosti, radiační ochra- ny, monitorování radiační situace a zvládání radiační mimořádné události během celého životního cyklu,
• proces využití PSA v rámci PSR a v projektu prodlužování původně plánované
doby životnosti JE.

Výsledky PSA musejí být použity také při vývoji havarijních provozních předpisů i ná- vodů pro zvládání těžkých havárií a při ověřování jejich vhodnosti a správnosti, viz vy- hláška č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zá- kona, § 11, odst. 1 [P6], a rovněž pro posuzování potřebnosti a přijatelnosti změn v do- kumentu Limity a podmínky, viz vyhláška č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 10, odst. 6, písm. b)[P6].

Další oblasti využití PSA jsou spojeny s problematikou testů a údržby zařízení. Kon- krétně se výsledky PSA využívají v případě nárůstu rizika po zajištění zařízení do údrž- by nebo testů a pro posouzení adekvátnosti frekvence údržby či testů. PSA se rovněž využívá pro potvrzení toho, že AOT nebudou příliš zvyšovat riziko a k indikaci kombi- nací neprovozuschopného zařízení, kterým je třeba se vyhnout.

Z pohledu projektu se PSA dále využívá k prokázání toho, že bezpečnostní systémy ma- jí dostatečnou úroveň zálohovanosti a diverzity a že je celkový projekt vyvážený v tom smyslu, že: (i)žádný prvek projektu nebo skupina IU nepředstavuje disproporčně velký příspěvek k riziku; (ii) dosažení celkově nízké úrovně rizika nezávisí na přispěvatelích, které mají vý- znamné neurčitosti, viz vyhláška č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomové- ho zákona, § 10, odst. 5 [P6]. Nedostatek ve vyváženosti projektu je často indikátorem toho, že existují možnosti implementace proveditelných opatření k redukci rizika.

PSA používané během celého životního cyklu JE by mělo vycházet ze stejných obec- ných metodických principů. Již během projektování musí být stanoven rozsah PSA a úroveň detailů modelování, s tím, že se PSA model bude dále doplňovat a zkvalitňovat v závislosti na nově provedených podpůrných analýzách, které umožní ověření předpo- kladů modelování. Rovněž budou pravidelně rekvantifikovány číselné parametry pri- márních událostí modelu PSA na základě zahrnutí specifické informace získané z testů a z provozu zařízení JE.

Z výsledků PSA je možno identifikovat slabá místa z hlediska jaderné bezpečnosti v projektu či provozu JE a hodnotit priority v provádění změn, viz požadavek vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 10 [P6]. Využití PSA zahrnuje též porovnání s pravděpodobnostními kritérii tam, kde jsou stanovena. Identifikace slabých míst JE

Podrobné kvantitativní informace, jako například frekvence seskupených IU, frekvence MKŘ, hodnoty importančních měr pro primární události různého typu a kvalitativní in- formace odvozené z PSA mohou pomoci identifikovat specifické slabiny JE z pohledu rizika poškození aktivní zóny reaktoru nebo poškození paliva v bazénu skladování. Porovnání s kritérii přijatelnosti

Při využívání výsledků PSA pro verifikaci toho, že provoz JE naplňuje stanovené bez- pečnostní cíle či kritéria, se používá plnorozsahové PSA zahrnující kompletní seznam IU včetně vnitřních i reálně možných vnějších rizik a všechny provozní režimy JE, kro- mě těch případů, kdy jsou bezpečnostní cíle či kritéria formulovány pro omezený rozsah PSA nebo jsou užity alternativní přístupy k prokázání toho, že riziko z nezahrnutých IU a vnitřních a vnějších rizik, případně provozních režimů nemá podstatný vliv na naplně- ní bezpečnostních cílů či kritérií.

Celkové výsledky PSA 1. úrovně (CDF či FDF) se porovnávají se stanovenými kritérii přijatelnosti, aby bylo možno posoudit, zda navržený projekt a provozní náležitosti jsou v souladu s cílem zajistit co nejvyšší možnou úroveň jaderné bezpečnosti, radiační ochrany, monitorování radiační situace a zvládání radiační mimořádné události (tj. zda riziko je dostatečně nízké). Cílem je nepřekročení limitních hodnot zvolených kritérií přijatelnosti, tj. analýza PSA má ověřit, že projekt má dostatečnou úroveň jaderné bez- pečnosti reprezentovanou bezpečnostními systémy a havarijními předpisy, které mají zabránit tavení AZ či poškození paliva v BS. Analogický přístup lze uplatnit i pro vý- sledky PSA 2.a 3.úrovně.

Porovnávání výsledků PSA analýzy s kritérii přijatelnosti rizika se má provádět během posuzování návrhu projektu, detailního projektování, během výstavby i provozu JE s cílem ověřit, zda jaderná bezpečnost, radiační ochrana, monitorování radiační situace a zvládání radiační mimořádné události jsou stále na dostatečné úrovni.

Při porovnávání výsledků PSA s kritérii přijatelnosti se též zvažují výsledky provede- ných citlivostních studií a analýz neurčitosti. Z nich lze odvodit stupeň důvěryhodnosti toho, že kritérium nebylo překročeno i pravděpodobnost toho, že by se tak mohlo stát. Využití MKŘ

Seznam MKŘ lze využít ke zjištění slabých míst v projektu i provozu JE. Prověřeny musejí být zejména ty MKŘ, které představují významné přispěvatele k celkové CDF či FDF, což umožní identifikování iniciačních událostí a bezpečnostních funkcí, které představují největší příspěvek k CDF či FDF. Prověřují se rovněž MKŘ obsahující pri- mární události, které nabývají vysoké hodnoty importančních měr.

Podstatným prvkem analýzy CDF, FDF a MKŘ je zjištění toho, zda projekt je bezpeč- nostně vyvážený, takže žádná IU nebo skupina IU ani žádná jednotlivá havarijní sek- vence nemá příliš velký relativní příspěvek k riziku. Analogicky se postupuje při vy- hodnocování výsledků PSA 2.a 3.úrovně.

Seznam MKŘ může být rovněž využit ke zjištění toho, zda neexistují jednoduché poru- chy, jejichž výskyt znamená selhání celého bezpečnostního systému v odezvě na někte- rou skupinu IU, tj. nesplnění deterministického kritéria jednoduché poruchy. Užití importančních měr

Při interpretaci výsledků PSA musejí být rovněž využity importanční míry pro primární události, jejich skupiny, bezpečnostní systémy, skupiny IU apod. Zpravidla se vyčíslují následující importanční míry:

• Fussell-Vesely (někdy se též používá výraz Fractional Contribution – FC),
• RAW (risk achievement worth, někdy se také označuje jako risk increase ratio,
resp. risk increase factor - RIF),
• RRW (risk reduction worth, někdy se také označuje jako risk decrease ratio, resp.
risk decrease factor - RDF),
• Birnbaum importance.

Importanční míry musejí být využity k identifikaci komponent a systémů významně při- spívajících k riziku a návazně při projektování nebo během provozu JE k identifikaci elementů projektu či provozu JE, které je žádoucí vylepšit.

Mezi elementy rizikově informovaného rozhodování využívající získané hodnoty im- portančních měr patří například určení toho, zda:

• bezpečnostní systémy mají adekvátní úroveň zálohování a diverzity,
• je kvalifikace SKK na takové úrovni, že prokazuje funkčnost zařízení
v nepříznivých podmínkách havarijních scénářů,
• existuje dostatečná separace a segregace oblastí ohrožených riziky, jako například
záplavami nebo požáry,
• je interface člověk – stroj řešen adekvátně tak, aby byl potenciál vzniku lidských
selhání zredukován na dostatečně nízkou úroveň.

Importanční míry patří do skupiny podkladů využívaných k určení toho, zda projekt a provoz JE je vybalancován z pohledu rizika nebo je třeba provést dodatečná opatření s cílem snížit riziko eliminací nebo omezením síly jeho hlavních přispěvatelů.

Při identifikaci slabých míst projektu a provozu JE pomocí analýzy importančních měr je třeba zvážit neurčitosti inherentně obsažené ve výsledcích PSA a vhodně interpreto- vat nálezy z citlivostních studií. Porovnávání návrhů modifikací projektu

Při zvažování modifikací projektu JE je obvykle k dispozici více alternativ řešení a pro posuzování jejich vhodnosti lze využít PSA. Závěry získané z PSA pak představují je- den ze vstupů do procesu integrovaného rizikově informovaného rozhodování, jehož výsledkem je výběr nejvhodnějšího řešení. Omezení PSA 1.úrovně při hodnocení projektu

Jestliže PSA neobsahuje analýzu některých IU či rizik, které by mohly významně při- spět k výsledné hodnotě CDF, je třeba pozorně stanovit rozsah využití PSA v rámci této aplikace.

Je třeba brát v úvahu všechny případy, kdy byla specifická informace o projektu a pro- vozu JE z různých důvodů nahrazena informací generickou. Například ve fázi projekto- vání JE mohou existovat značné neurčitosti v datech, modelech i dostupném objemu a relevanci informace z provozní praxe, a to zejména v případě nového projektového ře- šení, dále při modelování efektů stárnutí nebo v uvažované kultuře bezpečnosti.

Rizikově informované LaP

Tato aplikace využívá PSA jako součást rizikově informovaného přístupu k potřebě a přijatelnosti AOT, STI a strategií testování zařízení, viz požadavek vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 10, odst. 6, písm. b)[P6]. Závěry z PSA mohou být využity jako vstupy při zdůvodnění splnění podmínek provozu nebo přijatých délek AOT.

Rizikově informovaný přístup je využit pro stanovení konzistentního základu pro defi- nování LaP, který je v souladu s bezpečnostním významem dotčených důležitých částí JE. Při využití PSA pro hodnocení nebo návrh změny LaP musejí být do analýzy zahr- nuta všechna zařízení i bezpečnostní funkce, kterých se dané hodnocení či změna týká.

Závěry z PSA 1. úrovně obsahují specifické informace potřebné pro aplikaci rozhodo- vacích kritérií. Takové informace mohou například obsahovat odvozené hodnoty CCDF (CFDF) za situace, kdy dané zařízení je v údržbě, ICCDP (ICFDP), kumulativní přírůs- tek CCDP (CFDP) za rok, případně za kratší časový úsek (například týden, měsíc, od- stávku). Na základě výsledků studie PSA je možné explicitně kvantifikovat vliv změny na průměrnou roční CDF (FDF).

Jestliže je navrhováno přesunout údržbu některého zařízení z provozu na výkonu do od- stávky nebo naopak, PSA musí být využita ke stanovení s tím související změny rizika provozu JE na výkonu a rizika při odstávce.

Pokud bude PSA použita pro optimalizaci STI, je třeba prověřit oprávněnost použité ko- relace mezi STI a pravděpodobností selhání komponenty.

Při návrhu změn ve strategii provádění testů (například zavádění cyklických provozních zkoušek), PSA 1.úrovně umožňuje odhadnout CDF odpovídající nové strategii. Při aplikaci PSA pro změny v LaP je třeba zohlednit nepřímé efekty změny LaP, jako jsou možné změny pravděpodobností výskytu CCF a změny v potenciálu pro vznik tzv. “er- rors of commission“ (ECOM).

Monitor rizika, kapi- tola 3.4.8.6 Rizikově infor- mované kontroly potrubních systémů (RI-ISI), kapitola

Monitor rizika je analytický nástroj schopný pracovat v reálném čase, který poskytuje informace o aktuálním riziku založené na aktuální konfiguraci zařízení JE závisející na řadě faktorů:

• PSA stavu (monitor rizika mapuje riziko provozu ve všech stavech - na výkonu i
při odstávce),
• zařízení, které je v provozu,
• zařízení, které je ve vyčkávacím režimu,
• zařízení, na němž se provádí údržba.

Informace získané pomocí monitoru rizika musejí být využívány při plánování údržby zařízení JE, neboť mohou významně napomoci tomu, aby nedocházelo k významnému nárůstu rizika v důsledku překryvu nepohotovosti různých zařízení a aby kumulativní přírůstek CCDP byl pro všechny vyskytnuvší se konfigurace zařízení nízký. PSA model pro monitor rizika

PSA model využitelný pro monitor rizika se odlišuje od „běžného“ PSA modelu použí- vaného pro ocenění rizika provozu JE a/nebo jiné aplikace PSA. V praxi jsou tyto odliš- nosti natolik zásadní, že „běžný“ PSA model je třeba pro monitorování rizika vždy upravit. Obecné charakteristiky potřebných úprav jsou podrobněji specifikovány v následujících odstavcích.

Je nutné systematicky identifikovat všechny předpoklady uplatněné při tvorbě „běžné- ho“ modelu PSA, zhodnotit je z pohledu platnosti pro nový cíl, kterým je hodnocení okamžitého rizika a v případě nutnosti je transformovat do podoby vhodné pro monitor rizika. Spolehlivostní data (frekvence IU, nepohotovosti zařízení v důsledku provádění údržby, apod.) je třeba systematicky verifikovat a v případě potřeby převést do podoby, která umožňuje hodnotit okamžité riziko.

Z PSA modelu je třeba pro účely monitorování okamžitého rizika odstranit různá zjed- nodušení, jejichž účelem bylo bez měřitelného vlivu na výsledky PSA redukovat rozsah modelu a složitost jeho kvantifikace, ale která by mohla nežádoucím způsobem zkreslit výsledky monitorování okamžitého rizika pro některé konfigurace zařízení JE, jejichž výskyt je reálně možný. Obvykle se provádějí úpravy z následujících kategorií:

• nahrazení skupiny IU modelované v PSA pomocí jediného stromu událostí indivi-
duálními IU z této skupiny (například IU typu LOCA uvažovanou obecně na po- trubí I.O. je třeba rozdělit na IU typu LOCA na jednotlivých konkrétních smyč- kách a jednotlivým IU přiřadit frekvenci výskytu),
• rozšíření modelů systémů na všechny možné konfigurace zařízení, aby bylo možno
navolit různé (všechny) linie systémů jako pracovní i jako rezervní podle aktuální- ho stavu na JE,
• odstranění primárních událostí, které v PSA modelu pravděpodobnostně zohledňu-
jí údržbu prováděnou na zařízení (v aktuální konfiguraci zařízení JE není dostup- nost/stav zařízení postulován pravděpodobnostně).

PSA model musí být, pokud je to nutné, dále rozvinut a modifikován s cílem přesněji stanovit riziko ve vztahu ke konkrétní konfiguraci zařízení JE; jedná se zejména o ná- sledující úpravy:

• stanovení odpovídající pravděpodobnosti vzniku CCF v situacích, kdy se na zaří-
zení provádí údržba (tj. dostupná je pouze podmnožina větví systému a na tu je v daném případě nutné aplikovat CCF),
• modelování lidských selhání, které bere do úvahy aktuální konfiguraci zařízení
(všechny dopady limitované konfigurace zařízení do oblasti lidského faktoru),
• zavedení dynamických událostí, aby bylo možno modelovat změny ve frekvencích
IU a pravděpodobnosti vzniku primárních událostí, které mohou nastat v důsledku změn okolního prostředí.

PSA model také musí být kompatibilní s programovým vybavením, které bude používá- no pro monitor rizika. Například může být nutno převést PSA model z obvyklé logické struktury zahrnující stromy událostí a stromy poruch do jednoho ekvivalentního rozsáh- lého stromu poruch (master logic fault tree) nebo upravit NOT logiku a logické spínače použité v modelu pro účely monitorování rizika.

Pro podporu provozu monitoru rizika přímo v provozu JE za účasti specialistů JE je vhodné vytvořit některé databáze. Například je potřeba mít k dispozici nástroj mapující vztah mezi označením zařízení (komponent) běžně používaným na JE a označením pri- márních událostí, používané v PSA modelu (specialisté z JE využívající monitor rizika nejsou s nomenklaturou primárních událostí PSA modelu obeznámeni). Je vhodné všechny databáze používané pro podporu monitorování rizika verifikovat.

Logická struktura PSA modelu a podpůrné databáze vyvinuté pro provoz monitoru rizi- ka musejí být validovány. Validační proces prověřuje, že kvantitativní výsledky výpočtů monitorem rizika jsou správné a odpovídají těm výsledkům, které by byly získány po- mocí původního PSA modelu pro všechny pravděpodobné konfigurace zařízení JE. V současnosti jsou k dispozici rozsáhlé zkušenosti s popisovanými úpravami PSA mo- delu pro účely monitorování rizika, včetně validace, viz například [G19]. Programové vybavení pro monitor rizika

Programové vybavení pro monitor rizika se významně odlišuje od prostředí, ve kterém se vytváří a kvantifikuje PSA. Jelikož monitor rizika je využíván pracovníky různých profesí na JE, kteří nemají hlubší znalosti o PSA, je nutné pro tyto pracovníky vytvořit speciální intuitivně použitelný interface. Tento interface poskytuje možnost měnit uživa- telsky příjemným způsobem konfiguraci zařízení JE (například stanovit konkrétní PSA stav, označit komponenty, které budou v údržbě apod.), ale uživatel nemůže zasahovat přímo do PSA modelu a proto nepotřebuje žádné speciální školení v používání technik vývoje a modifikace PSA modelu.

Pro monitorování rizika existuje kvalitní, potřebám koncového uživatele plně vyhovující komerční software. Je žádoucí, aby software vybraný pro tyto účely, byl validován (aby existovalo pozitivní stanovisko SÚJB pro jeho používání). Tento software musí být schopný vyčíslovat riziko provozu v reálném čase, což v praxi (v závislosti na rozsáh- losti PSA modelu JE) znamená, že je nutné přizpůsobit i hardware, na němž je monitor rizika provozován. Zobrazení výstupů z monitoru rizika

Monitor rizika poskytuje informace pro kvantitativní hodnocení aktuálního rizika (vý- počet okamžité CDF, povolená doba dané konfigurace zařízení, kumulativní přírůstek CCDP) a také kvalitativní informace (stav bezpečnostních funkcí a systémů). Kvalita- tivní informace jsou využitelné pro naplnění deterministických požadavků na konfigu- raci zařízení JE při řízení rizika během odstávky.

Monitor rizika poskytuje informace názornou, snadno srozumitelnou formou. Jeho zá- kladním výstupem je jasná vizuální indikace dosažené úrovně rizika a stavu bezpeč- nostních funkcí a systémů. Využití monitoru rizika

Pro optimální využití monitoru rizika personálem na blokové dozorně či na jiných pra- covištích JE je třeba mít k dispozici nejaktuálnější informace o konfiguraci zařízení a o provozních podmínkách. Dobrou praxí je vkládat každou informaci o změně konfigura- ce zařízení nebo provozních podmínek okamžitě po jejím vzniku, aby monitor rizika mohl v reálném čase podat informaci o zachování nebo změně aktuálního provozního rizika.

Monitor rizika může být využit off-line pro plánování údržby před odstávkami a během odstávek, dlouhodobé sledování profilu rizika a trendů jeho vývoje, analýzu kumulativní ICCDP a pro hodnocení neočekávaných událostí jako například selhání zařízení s odstupem po jejich vzniku.

Informace získané pomocí monitoru rizika mají být využívány v procesu integrovaného rizikově informovaného rozhodování, které bere současně v úvahu závazná nařízení pro provoz JE (například Limity a podmínky) a deterministické požadavky (například za- chování ochrany do hloubky). Omezení monitoru rizika

Schopnosti a využití monitoru rizika jsou dány stavem a věrohodností modelu PSA, na němž je založen. Tento model může mít omezený rozsah z pohledu úplnosti spektra modelovaných rizik a scénářů nebo provozních stavů JE, které pokrývá. Model nemusí zahrnovat všechny možné kombinace větví provozovaných systémů a těch, které jsou ve vyčkávacím režimu anebo všechna možná propojení zařízení JE. Tato omezení je vždy třeba brát v úvahu při rozhodovacím procesu využívajícím výsledky získané monitorem rizika.

Rizikově informova- né kontroly potrubních sys- témů (RI-ISI), kapitola

Cílem programu kontrol potrubních systémů na JE je identifikace oblastí degradace, kte- ré jsou opraveny před dosažením stavu vedoucího k havárii potrubí. Program provádě- ných kontrol je typicky založen na tradičních deterministických přístupech a inženýr- ském odhadu. Cílem rizikově informovaného přístupu ke kontrolám potrubních systémů je využít závěry z PSA k revizi programu kontrol (z pohledu frekvence inspekcí, ale i použitých metod, atd.), soustředit se především na ty potrubní segmenty, jejichž význam je z hlediska rizika největší a redukovat kontroly na potrubích s nízkým bezpečnostním významem. Aplikace rizikově informovaných metod v praxi vede ke snížení celkového počtu prováděných kontrol potrubí, snížení nákladů a redukci dávek obdržených perso- nálem, který kontroly provádí, a to bez zvýšení rizika provozování dané JE.

Teoretické základy pro tuto aplikaci PSA byly zpracovány do několika přístupů a popsány například v materiálech EPRI nebo Westinghouse Co., viz [G20], [G21], [G22].

Závěry z PSA 1. úrovně musejí být využity jako jeden ze vstupů do RI-ISI, kde se s je- jich pomocí stanoví například následující elementy RI-ISI:

• potrubní segmenty, které budou hodnoceny pomocí RI-ISI a jejich charakterizace
z pohledu rizika,
• limitní hodnoty pravděpodobnosti selhání potrubních segmentů, na nichž budou
ještě/už prováděny inspekce,
• změny hodnot rizika vyplývající ze změn programu kontrol.

Pro každý potrubní segment zahrnutý do PSA se pracuje s několika potenciálními ná- sledky jeho selhání:

• vznikem IU a na něj bezprostředně navazujícími komplikujícími jevy (mechanické
a další fyzikální následky úniku vody a/nebo páry, mechanické dopady švihu po- trubí a jeho fyzické interakce se zařízením JE),
• selháním/poškozením jiného systému pracujícího ve vyčkávacím režimu
v důsledku interakce s poškozeným potrubím vedoucí k tomu, že buď některá li- nie, nebo celý systém není schopen plnit svoji bezpečnostní funkci,
• selhání funkce jedné linie nebo celého potrubního systému, když je provozován na
požadavek v důsledku vzniku IU.

Selhání potrubí, které vede přímo na IU, je již v PSA 1. úrovně typicky zahrnuto a ana- lýza pouze prověřuje tento fakt. Selhání potrubí vedoucí na neprovozuschopnost bez- pečnostního systému obecně nebývají zahrnuta v PSA modelu, jelikož jejich příspěvek k celkové pravděpodobnosti selhání bezpečnostního systému je relativně zanedbatelný v porovnání s pravděpodobností selhání aktivních komponent daného systému.

V případě selhání potrubních segmentů vedoucích přímo ke vzniku IU se PSA typicky využívá ke stanovení CCDP. V těch případech, kdy by selhání potrubních segmentů ve- dlo ke ztrátě funkce bezpečnostního systému, ať již v režimu vyčkávání nebo při jeho zprovoznění na požadavek, se PSA používá k výpočtu CCDF.

Přesný způsob stanovení rizikového významu všech potrubních segmentů zahrnutých v RI-ISI projektu znamená důkladnou revizi a rozšíření PSA modelu, jehož cílem je ex- plicitně zahrnout tyto potrubní segmenty do PSA a následně výpočtem stanovit souvise- jící CDF a CCDP (v PSA pro vnitřní události jsou segmenty potrubí obvykle uváženy pouze v rozsahu nutném k určení frekvencí iniciačních událostí z kategorie ztráty inte- grity).

Alternativním a často používaným přístupem je řešení, kdy selhání potrubních segmentů nejsou explicitně modelována v PSA, ale jsou přímo vztahována k primárním událostem (nebo ke skupinám primárních událostí) reprezentujícím selhání aktivních komponent se stejnými následky na dostupnost zařízení a naplnění jeho funkce. Pokud je použit tento přístup, je třeba zvážit, zda jsou v PSA modelu zahrnuty všechny kategorie následků popsané v (3.568).

Po vytvoření nového revidovaného programu kontrol musí být pomocí PSA vyčísleny příslušné míry rizika a porovnány s rozhodovacími kritérii nebo s návody aplikovanými pro posouzení akceptovatelnosti změn v programu kontrol. To je možné provést buď změnami frekvencí IU, nebo pravděpodobnostech selhání komponent, které vyplývají ze změn v programu kontrol a novou kvantifikací modelu PSA s pozměněnými hodnotami příslušných parametrů nebo pomocí citlivostních studií. Opět zde musí být uvážena pří- padná omezení PSA, vyplývající z omezeného rozsahu PSA, podrobnosti modelování apod. dle (5.381).

Rizikově informova- né provozní testy

Provozní testy jsou v současnosti obvykle prováděny dle standardů zahrnutých ve vnitřních předpisech, které využívají deterministický přístup pro vypracování pro- gramu provozních testů.

Cílem rizikově informovaného přístupu je s pomocí PSA vytvořit podklady pro další optimalizaci programu provozních testů tak, aby se soustředil na ta zařízení, která mají největší význam z hlediska rizika. Z pohledu provozovatele JE rizikově informovaný přístup může navíc přinést snížení celkových nákladů na údržbu při současném zacho- vání vysoké úrovně jaderné bezpečnosti, radiační ochrany, monitorování radiační situa- ce a zvládání radiační mimořádné události.

Při aplikaci rizikově informovaného přístupu výsledky PSA musejí být využity společně s deterministickými a inženýrskými úvahami. Z výstupů PSA je vhodné využít zejména importanční míry Fussell-Vesely (případně FC) a Birnbaum (nebo RAW).

PSA se zde stává, podobně jako v jiných aplikacích, zdrojem informací o bezpečnost- ním významu jednotlivých komponent, který je užitečným nástrojem pro výběr kompo- nent s relativně velkým bezpečnostním významem (a tedy vyžadujících pečlivé testová- ní) a komponent relativně bezpečnostně nevýznamných (které se tak stávají kandidáty na omezení testování). Na základě rozboru výsledků PSA a dalších vstupů uvedených v předchozím odstavci pak může být upraven program provozních testů.

Pokud dojde ke změně testových intervalů zařízení JE, ať už v důsledku aplikace riziko- vě informovaného přístupu nebo i z jiných důvodů, je třeba přepočítat PSA s novými vstupními údaji, stanovit novou hodnotu CDF, porovnat jí s kritérii přijatelnosti rizika a rozhodnout, zda je změna programu provozních testů akceptovatelná.

Odstupňovaný pří- stup pro zajištění kvality vy- braných zařízení, kapitola

Cílem zajišťování kvality vybraných zařízení na JE, který je vlastně zobecněním úlohy popsané v předchozí kapitole Návodu, je získat vysokou úroveň jistoty, že zařízení bude spolehlivě plnit své bezpečnostní funkce v podmínkách normálního provozu i při vzniku havarijních podmínek. Pro určení bezpečnostně významných SKK, na které se tento proces zaměřuje, se běžně užívají deterministické metody a inženýrský odhad. Tato ka- pitola Návodu bude diskutovat možnosti využití rizikově podloženého přístupu.

Z výsledků řady současných PSA vyplývá, že některé a priori stanovené bezpečnostně významné SKK mají za daných podmínek relativně nízký příspěvek k riziku, zatímco jiné SKK, klasifikované jako bezpečnostně nevýznamné, relativně významně přispívají k celkovému riziku. Cílená aplikace rizikově orientovaného přístupu tak zde může při- nést další zdokonalení péče o zařízení, nad rámec využití původní deterministicky orien- tované klasifikace bezpečnostní významnosti.

Cílem (rizikově informovaného) odstupňovaného přístupu k zajištění kvality provozu zařízení je zjistit, zda je možno provést u některých zařízení změny v tradičních poža- davcích na zajištění kvality tak, aby nové požadavky byly více v souladu s jejich bez- pečnostním významem. Z pohledu provozovatele JE tento přístup může umožnit redu- kovat náklady na provádění činností spojených se zajišťováním kvality vybraných zaří- zení, z hlediska správního orgánu, tj. SÚJB pak vede aplikace přístupu jednak ke snížení požadavků na některá bezpečnostně méně významná zařízení, a naopak ke zvýšení těch- to požadavků na zařízení rizikově významná, jejichž vliv na jadernou bezpečnost mohl být před provedením rizikově podložené analýzy podceněn.

PSA umožňuje stanovit význam jednotlivých SKK pro celkové riziko provozu pomocí analýzy importančních měr, například Fussell-Vesely a Birnbaum (nebo RAW). Stano- vení vlivu na riziko musí být primárně prováděno spíše na úrovni bezpečnostních funkcí a systémů než na úrovni jednotlivých SKK, ale rovněž je třeba zvážit importanční míry jednotlivých komponent.

Při rozhodování o změnách v platné dokumentaci týkající se zajištění kvality vybraných zařízení pro provozovanou JE musí být současně zvážena jak bezpečnostní klasifikace (vyplývající z deterministického přístupu a inženýrského odhadu), tak i vliv na riziko (odvozený z výsledků PSA) v souladu s předchozími odstavci této kapitoly Návodu.

Výsledkem uvedené aplikace PSA jsou obecné podklady pro zvážení toho, zda je mož- no zredukovat požadavky na zajištění kvality u zařízení, která byla sice původně klasifi- kována jako bezpečnostně významná, ale mají relativně malý vliv na celkové riziko provozu JE, a naopak zvýšení požadavků na zařízení, které sice jako bezpečnostně vý- znamné klasifikováno není, ale má na celkové riziko relativně velký vliv. Pro ostatní SKK zůstanou zachovány původní požadavky na zajištění kvality.

Obecně platí, že musí být zajištěna provozuschopnost zařízení, která PSA stanovilo jako významná pro zajištění jaderné bezpečnosti a tato zařízení mají být popsána v předběžné bezpečnostní zprávě, provozní bezpečnostní zprávě pro první fyzikální spouštění jader- ného zařízení s jaderným reaktorem, provozní bezpečnostní zprávě a bezpečnostní zprá- vě k vyřazování z provozu jaderného zařízení, aktuálně dle fáze životního cyklu, v němž se PSA provádí, viz požadavek vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 11, odst. 4 [P6].

SPI založené na PSA

Indikátory bezpečného provozu (SPI) založené na PSA mohou být použity k retrospektivní nebo aktuální indikaci chování JE z hlediska jaderné bezpečnosti. Tyto indikátory obvykle zahrnují průběh rizika během provozu, aktuální hodnotu rizika, ku- mulativní CDP při odstávkách, kdy se provádí údržba zařízení apod. Řadu těchto indiká- torů lze určit přímo pomocí monitoru rizika. Některé SPI mohou být odvozeny z analýzy událostí provedené pomocí PSA. Pro každou JE má být cíleně stanoven a prů- běžně sledován a vyhodnocován soubor SPI přímo využívajících informace z PSA, včetně analýzy trendů. Hodnoty důležitých SPI jsou uvedeny v PpBZ a průběžně pravi- delně aktualizovány.

Hodnocení událostí pomocí PSA, kapitola

PSA poskytuje speciální nástroj pro hodnocení provozních událostí vyskytnuvších se na JZ, který se v současnosti často využívá jako bezprostřední součást zpětné vazby, kde slouží jako doplněk tradičního deterministického hodnocení určujícího kořenovou příči- nu provozní události apod. Cílem je nejen dodatečně stanovit rizikový význam vzniklé provozní události, ale navíc přes analýzy typu what-if popsat efekty ovlivnění rizika v důsledku dalších možných kombinací provozních událostí, které mohly nastat součas- ně či během reakce bloku na vyskytnuvší se provozní událost (ale nenastaly).

Hodnocení provozní události je vhodné provádět nejen v případě výskytu relevantní provozní události na vlastní JE, ale i při výskytu takové provozní události na ostatních (příbuzných) JE. Do hodnocení musejí být zahrnuty IU (především ty, které nastaly, ale i takové, kde sice došlo k selhání zařízení, nicméně rychlá reakce operátora zabránila dalšímu rozvoji scénáře, který by vedl ke vzniku IU) i podmíněné provozní události, kde pravděpodobnost vzniku IU byla v důsledku události prokazatelně navýšena, nebo bylo indikováno možné omezení dostupnosti bezpečnostních systémů požadovaných v odezvě bloku na IU.

Hodnocení provozních událostí pomocí PSA musí být prováděno při výskytu provozní události s potenciálním vlivem na jadernou bezpečnost, radiační ochranu, monitorování radiační situace a zvládání radiační mimořádné události. Při obvyklých počtech provoz- ních událostí s bezpečnostním akcentem je třeba mít stanoveno vhodné vyřaďovací kri- térium pro vyloučení provozních událostí s malým bezpečnostním významem z další analýzy a rovněž pro seřazení nevyloučených provozních událostí podle jejich významu pro jadernou bezpečnost, radiační ochranu, monitorování radiační situace a zvládání ra- diační mimořádné události, aby byly nejdůležitější události hodnoceny rizikově podlo- ženými metodami co nejdříve.

Stav JZ, všechna selhání zařízení a činnosti operátora vyskytnuvší se v rámci dané pro- vozní události mají být adekvátně zohledněny pomocí PSA modelu a proveden výpočet, který umožní posouzení rizikové významnosti provozní události (veličiny, které je mož- no využít pro posouzení jsou například CCDP v případě výskytu IU a okamžitá CDF v případě podmíněných provozních událostí). Hodnocení musí být doplněno o citlivost- ní studii typu „what if“, která by při zapojení obsluhy do skutečného scénáře provozní události měla například odpovědět na otázku „Jaká by byla CCDP, kdyby operátor se- lhal při řešení situace?“. Součástí citlivostní studie by mělo být i kvalitativní posouzení okolností vedoucí ke správnému porozumění hlavním přispěvatelům k riziku spojenému s výskytem dané provozní události.

Hodnocení provozní události musí zahrnovat i vliv násobných selhání (CCF).

Aplikace PSA pro hodnocení provozních událostí ve svém finálním výstupu navazují- cím na kvantitativní analýzu podrobuje diskusi návrhy možných změn, jejichž cílem by bylo snížení pravděpodobnosti opětovného výskytu vzniklé provozní události.

Při využívání výsledků analýzy provozních událostí pomocí PSA musí být věnována pozornost identifikaci trendů v provozu JE během sledované časové periody a ve výstu- pech analýzy konkrétních provozních událostí jsou tyto trendy diskutovány.

Výsledky aplikace PSA při hodnocení provozních událostí mohou být zavádějící, pokud nebyly během sledované doby konzistentně používány stejné modely, metody a předpo- klady.

Využití PSA pro výcvikové programy držitele povolení

Poznatky z PSA musejí být rovněž využívány jako vstupní informace při přípravě a ově- řování bezpečnostně významných výcvikových programů držitele povolení, včetně vý- cviku operátorů z blokové dozorny na simulátoru, viz požadavek vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 11, odst. 5 [P6].

Úvodní poznámky

PSA 2. úrovně je strukturovaný proces. Ačkoliv mohou mezi různými přístupy k provádění PSA 2.úrovně existovat rozdíly, obecně lze hlavní kroky popsat následov- ně:

• PSA 1. úrovně poskytuje informace o havarijních sekvencích vedoucích na poško-
zení AZ, případně na poškození paliva v BS, a tak poskytuje vstup pro PSA 2. úrovně. Havarijní sekvence identifikované v PSA 1.úrovně nemusejí obsahovat informace o stavu systémů kontejnmentu sloužících ke zmírnění následků těžké havárie.
• Interface mezi PSA 1. úrovně a PSA 2. úrovně je část analýzy, při níž jsou sekven-
ce vedoucí k poškození AZ, případně na poškození paliva v BS, sdruženy do tak- zvaných stavů poškození JE (PDS stavy) na základě podobnosti podmínek určují- cích další rozvoj těžké havárie. Pokud nebyl stav některých systémů kontejnmentu sledován v rámci PSA 1.úrovně, je třeba ho zohlednit pomocí stromů interface, takzvaných konsekvenčních stromů (bridge trees), nebo v prvních krocích PSA 2. úrovně.
• Analýza stromu událostí kontejnmentu (často nazývaná „analýza stromu událostí
rozvoje havárie“) je část analýzy, v níž je modelován rozvoj těžké havárie a kde jsou identifikovány havarijní sekvence vedoucí k poškození kontejnmentu a k úni- kům radioaktivních látek do životního prostředí.
• Analýza zdrojového členu se užívá pro určení množství radioaktivních látek uvol-
něného do životního prostředí, připadajícího na jednotlivé kategorie úniku RaL.

Je třeba poznamenat, že neexistuje pouze jeden univerzální postup vývoje PSA modelu, ale je možné vybrat z několika možných přístupů. Z praktických důvodů se v PSA 2. úrovně užívá v různých fázích analýzy sdružování různých parametrů:

• sdružování sekvencí vedoucích na poškození AZ, případně na poškození paliva
v BS, do stavů poškození JE tvořících vstup pro PSA 2.úrovně,
• sdružování podobných stavů poškození JE ve fázi analýzy stromu událostí rozvoje
těžké havárie,
• sdružování sekvencí těžkých havárií identifikovaných při analýze „stromu událostí
rozvoje havárie“ do kategorií úniku RaL,
• sdružování kategorií úniku RaL do zhuštěných kategorií zdrojových členů, které
dále slouží jako vstupy pro PSA 3.úrovně.

Doporučení, která jsou prezentována v dalším textu Návodu, jsou založena na meziná- rodně přijímaných a ověřených postupech. To ovšem neznamená, že by se mělo jakkoliv bránit využívání nových ekvivalentních nebo alternativních metod. Naopak, jakékoliv metody, které splňují cíle PSA 2.úrovně, jsou vítány. Změny analytických metod musí pokračovat ruku v ruce s lepším chápáním fenomenologie těžkých havárií. Nicméně se předpokládá, že celkový rámec PSA 2.úrovně, tak jak je pospaný v tomto Návodu, bude platný i pro dohlednou budoucnost.

Návod pokrývá nezbytné technické aspekty PSA 2. úrovně pro JE ve vztahu k jeho vyu- žitelnosti a klade spíše důraz na procedurální kroky a významné elementy PSA 2.úrov- ně než na detaily konkrétních výpočetních metod, které jsou popsány v příslušné litera- tuře. Návod zahrnuje všechny kroky obsažené v procesu tvorby PSA 2.úrovně až po ur- čení zdrojových členů, které slouží jako vstup do PSA 3.úrovně.

Návod popisuje všechny aspekty PSA 2. úrovně, které je třeba vykonat, v případě, že vstupem je plnorozsahový PSA model 1.úrovně. Pokud jsou cíle PSA 2.úrovně ome- zeny (jak je popsáno v kapitole 3.5.2.1 Návodu), je třeba splnit pouze odpovídající části doporučení prezentovaných v tomto Návodu. Pokud je ale naopak rozsah PSA 1.úrovně omezen, jak je též zmíněno v kapitole 3.5.2.1 Návodu, je naopak třeba vykonat dodateč- nou analýzu doplňující rozsah popsaný v tomto Návodu.

Různé projekty JE využívají různé prostředky pro zabránění nebo omezení úniku radio- aktivního materiálu po těžké havárii. Pro tyto účely obsahuje většina projektů strukturu kontejnmentu jako jeden z pasivních systémů. Fenomenologie související s těžkými ha- váriemi je značně ovlivněna právě typem a složením aktivní zóny reaktoru. Doporučení v tomto Návodu se snaží být v maximální míře technologicky neutrální, nicméně počet a množství různých kroků analýzy může někdy předpokládat určitý druh struktury kon- tejnmentu.

Organizace projektu tvorby a udržování PSA 2. úrovně

Následující odstavce uvádějí doporučení týkající se požadavků na řízení PSA 2. úrovně.

Vymezení cílů a rozsahu projektu PSA 2. úrovně

PSA 2. úrovně pokrývá rozvoj těžkých havárií, které jsou modelovány v havarijních sekvencích s významným poškozením AZ, případně významným poškozením paliva v BS. Hlavním cílem analýzy je určit, zda byla přijata dostatečná opatření pro zvládnutí těžké havárie (TH) a zmírnění jejich následků. Tato opatření mohou zahrnovat napří- klad:

• Instalaci systémů určených přímo na zmírnění následků TH jako jsou prostředky
pro zadržení taveniny v nádobě reaktoru, zařízení pro promíchávání vodíku, re- kombinátory nebo zapalovače vodíku, popřípadě filtrované ventilační systémy,
• vlastní sílu struktur kontejnmentu nebo schopnost zadržení radioaktivního materiá-
lu uvnitř budovy reaktoru a využití zařízení určených původně k jiným účelům pro zvládnutí těžké havárie,
• návody na zvládnutí těžké havárie pro obsluhu JE (SAMG).

Jak je popsáno v odst. (3.596), vývoj PSA 2. úrovně je strukturovaný proces. Rozsah PSA 2.úrovně je určen jeho zamýšleným využitím a případně plány na vývoj PSA 3. úrovně. Ačkoliv je základní rámec a metody PSA 2.úrovně již poměrně dobře ustálen, stále je na analýzu PSA 2.úrovně potřeba velké množství zkušeností a technických zdrojů. I v případě, kdy je na analýzu věnováno velké množství zdrojů, je analýza cho- vání kontejnmentu a určení radiačních zdrojových členů předmětem značných nejistot vyplývajících z fenomenologie.

Odlišení konečného využití klade různý důraz a požadavky na různé vstupy do PSA 2. úrovně i její vlastní komponenty. Z toho důvodu na začátku projektu musí být komplet- ně definovány požadavky na PSA 2.úrovně a je třeba zajistit, že případný uživatel nebo příjemce PSA tyto požadavky správně chápe a věří, že jsou realizovatelné.

Jak bylo uvedeno výše, je nezbytné před zahájením prací na PSA 2. úrovně nejprve de- finovat její celkové cíle. Ty mohou obsahovat následující body:

• proniknout do jevů probíhajících při rozvoji těžkých havárií a chování kontejn-
mentu,
• identifikovat hlavní hrozby pro bezpečnost JE a slabá místa kontejnmentu,
• poskytnout cenné vstupy a podklady pro rozhodování SÚJB,
• poskytovat vstupy pro rozhodování o plnění pravděpodobnostních bezpečnostních
cílů nebo kritérií; typickými sledovanými parametry jsou frekvence velkých úniků nebo velkých časných úniků,
• identifikovat hlavní módy poškození kontejnmentu společně s jejich frekvencemi a
stanovit související frekvence a velikosti úniků radioaktivních látek,
• poskytnout vstupy pro analýzu a hodnocení radiační mimořádné události (viz vy-
hláška č. 359/2016 Sb., o podrobnostech k zajištění zvládání radiační mimořádné události [P10], Příloha č. 1 Požadavky na obsah analýzy a hodnocení radiační mi- mořádné události) a pro stanovení zóny havarijního plánování (viz vyhláška č. 359/2016 Sb., o podrobnostech k zajištění zvládání radiační mimořádné události [P10], § 4, odst. 2, písm. b)),
• stanovit dopad různých nejistot, včetně nejistot předpokladů týkajících se jevů,
systémů a modelování,
• poskytnout vstupy pro vývoj návodů a strategií pro zvládání těžkých havárií,
• poskytnout vstupy pro určení možností snížení rizika dané JE,
• poskytnout vstupy pro určení priorit výzkumných aktivit při minimalizaci rizikově
významných nejistot,
• poskytnout vstupy pro PSA 3. úrovně konzistentní s celkovými cíli PSA,
• poskytnout vstupy pro hodnocení vlivu JE na životní prostředí.
Každý z výše uvedených cílů může klást různý důraz na různé aspekty PSA 2.úrovně. Právě z toho důvodu musí být vybrané cíle specifikovány na začátku projektu.

PSA model musí být maximálně realistický, jak je to jenom možné. Význam klíčových nejistot souvisejících s jednotlivými jevy musí být dobře uvážen.

Je třeba poznamenat, že všechna omezení charakteristická pro dané PSA 1. úrovně se přenášejí také do PSA 2.úrovně. To je třeba vzít v úvahu při zamýšleném využití a apli- kacích PSA 2.úrovně.

Při vývoji PSA 2. úrovně mohou nastat dva případy. V prvním případě je PSA 2. úrovně částí integrovaného plnorozsahového PSA. Ve druhém případě se PSA 2.úrovně snaží rozšířit existující PSA 1.úrovně. Pokud se jedná o integrované PSA, pak požadavky na PSA 2.úrovně musí platit i pro PSA 1.úrovně, takže všechny prostředky významné pro analýzu odezvy kontejnmentu a zdrojových členů budou zahrnuty i v PSA 1.úrovně. Pokud je ovšem PSA 2.úrovně vyvíjeno až dodatečně po dokončení PSA 1.úrovně, může být navíc potřeba provést analýzu některých dodatečných systémů. V tomto dru- hém případě, kdy se propojení 1.a 2.úrovně obvykle provádí pomocí takzvaných stavů poškození JE, je třeba zajistit, že PSA 2.úrovně zohledňuje stejné počáteční a okrajové podmínky jako model PSA 1.úrovně a bere v úvahu i závislosti mezi PSA 1.úrovně a PSA 2.úrovně.

Pokud je na počátku PSA 2. úrovně k dispozici existující model PSA 1. úrovně, pak je možné, že jeho výstupy nepokrývají všechny prostředky potřebné pro PSA 2.úrovně. Proto, pokud byla cílem PSA 1.úrovně pouze kvantifikace frekvence tavení AZ (CDF), případně obecněji frekvence poškození paliva v AZ a v BS (FDF), jak se požaduje v [P6], je možné, že stav kontejnmentu a bezpečnostních systémů kontejnmentu nebyly přímo zohledněny; je proto třeba je namodelovat v rámci stromů interface mezi PSA 1. úrovně a PSA 2.úrovně nebo přímo v PSA 2.úrovně.

Obecně platí, že pokud rozsah PSA pro dané JZ zahrnuje také vnitřní nebo vnější rizika (například požáry, zemětřesení), je třeba jejich potenciální dopad na funkci kontejnmen- tu a další možné závislé poruchy zahrnout do PSA 2.úrovně, pokud tyto nebyly součástí výstupů z PSA 1.úrovně. Příklady takovýchto závislých poruch mohou být poruchy izolačních systémů kontejnmentu z důvodu požáru kabelů, poškození struktur kontejn- mentu z důvodu seismické události a podobně.

Při určování rozsahu PSA 2. úrovně je třeba vzít v úvahu také požadavky na vstupy pro PSA 3.úrovně, pokud je tato požadována. Konečným výstupem PSA 2.úrovně je v takovém případě popis množství způsobů ohrožení kontejnmentu, dále popis možných odezev kontejnmentu a ocenění následných úniků do životního prostředí včetně jejich frekvencí. Popis v tomto případě musí obsahovat inventář uniklého materiálu, jeho fyzi- kální a chemické vlastnosti a informace o čase, energii, trvání a místě úniků.

Řízení PSA projektu

Jedním z cílů projektového řízení PSA 2. úrovně je zajistit, aby vyvíjené PSA nerepre- zentovalo jakýsi ideální nerealistický stav, ale aby v maximální míře odráželo skutečné provozní postupy na JE, a dále, aby bralo v úvahu i poslední vývoj v oblasti metod, mo- delů a dat.

Řízení projektu PSA musí zohlednit bezpečnostní důsledky výstupů PSA 2. úrovně a je- jich zamýšleného využití. Vzhledem ke komplexnosti jevů zahrnutých v PSA 2.úrovně, jejich nejistotám a rozsáhlému využívání expertních posouzení a počítačových nástrojů je velmi důležité ustavení dostatečného technického revizního systému. Zejména využí- vání expertních odhadů musí být vždy řádně ospravedlněno a prováděno kontrolovaným a dobře dokumentovaným postupem. Projektový management musí věnovat prostředky na nezávislý proces revize nebo na provedení srovnávacích studií.

Práce na PSA 2. úrovně vyžaduje od širokého spektra expertů pracujících na dané ana- lýze velké množství interakcí. Organizace projektu proto musí zajistit vhodné pracovní podmínky a uspořádání, které umožní kvalitní interakci a komunikaci mezi členy analy- tického týmu, včetně projektových manažerů a analytiků.

Projektový management musí zajistit, že výstupy získané z PSA 2. úrovně týkající se nedostatků JE a zvládání těžkých havárií budou správně pochopeny provozovatelem JE, provozním personálem, dozorným (správním) orgánem (tj. v ČR SÚJB), popřípadě dal- šími relevantními subjekty.

Při sestavování týmu pro PSA 2. úrovně musí být zajištěno dostatečné množství expertů z následujících oblastí:

• znalost projektu a provozu JE,
• znalost fenomenologie těžkých havárií a způsobů ohrožení kontejnmentu,
• znalost technik PSA.

Hloubka znalostí se může lišit v závislosti na fázi životního cyklu JE, kdy je PSA vyví- jeno, případně na tom, v které fázi projektování se vyvíjí či upravuje pro konkrétní umístění projektu, na rozsahu PSA i v závislosti na zamýšlených aplikacích. Nicméně přítomnost expertů JE, zaměstnanců provozovatele, projektantů (v projektové fázi) a PSA expertů je velmi důležitá.

V případě provozované JE musí tým pro vývoj PSA 2. úrovně zahrnovat:

• Operátory a provozní specialisty: Experti na projekt JE, provoz a hlavní systémy
kontejnmentu, vnitřní předpisy včetně havarijních provozních předpisů a návodů pro zvládání těžkých havárií;
• Experty na fenomenologii: Experti na fenomenologii TH, chování kontejnmentu,
nejistoty spojené s TH, chemické a fyzikální procesy řídící rozvoj TH, zatížení kontejnmentu, únik radionuklidů a počítačových kódů pro analýzu TH;
• Experty na strukturální analýzu materiálů: zejména poruchové módy kontejnmen-
tu;
• Další PSA experty: Experty na tvorbu stromů poruch, stromů událostí, spolehlivost
lidského činitele, analýzu nejistot, statistické metody, PSA kódy, PSA 1.úrovně.

Před zahájením vlastní analýzy se musí tým analytiků, který bude vyvíjet PSA 2. úrov- ně, seznámit s projektem JE a jejím provozem. Cílem tohoto kroku je identifikovat a zdůraznit systémy, struktury, komponenty a vnitřní předpisy včetně havarijních provoz- ních předpisů a návodů pro zvládání těžkých havárií, které mohou ovlivnit rozvoj TH, odezvu kontejnmentu a transport radionuklidů uvnitř kontejnmentu. Systémy, které mo- hou výrazně ovlivnit rozvoj TH a tím i PSA 2.úrovně, jsou například: ventilátory, sprchy kontejnmentu, filtrované ventilační systémy a barbotážní systém.

V dalším kroku musí být prověřeny následující subjekty potenciální analýzy: reaktorová budova, pomocné navazující budovy, reaktorový sál, popřípadě další struktury a budovy (sekundární kontejnment apod.). V případě existující JE toto seznámení s JE musí zahr- novat exkurze expertů na JE, v kontejnmentu a informativní pochůzky danými prosto- rami všemi členy týmu, který bude vyvíjet PSA 2.úrovně, nejlépe za přítomnosti pra- covníků JE v roli konzultantů.

Identifikace hlavních aspektů projektu a získávání informací

Musí být identifikovány a charakterizovány prostředky, které mohou ovlivnit rozvoj TH, jako například:

• Prostor pod TNR je důležitý z hlediska chování taveniny po jejím vylití z nádoby,
neboť tento prostor ovlivňuje rozsah, do něhož se může tavenina rozlít a následně potenciál pro její uchlazení.
• Trasy ze šachty reaktoru do hlavních objemů kontejnmentu. Omezení proudu mů-
že snížit rozsah, do něhož se trosky rozšíří po selhání dna nádoby. To je důležité zejména u vysokotlakých sekvencí pro lehkovodní reaktory.
• Kontejnment s velkým množstvím oddělených prostor automaticky snižuje mož-
nost promíchávání výbušných plynů a jejich rozptýlení v atmosféře kontejnmentu.
• Charakteristiky vedoucí k obtoku kontejnmentu.
Tyto a další znaky typické pro danou JE je třeba nalézt a zahrnout do další analýzy.

Příklady klíčových projektových prostředků JE z hlediska rozvoje těžké havárie a zmír- nění jejích následků jsou uvedeny v následující Tabulce 2.Kromě těchto prostředků je navíc třeba zhodnotit stav havarijních provozních předpisů a návodů pro zvládání těž- kých havárií. Tabulka 2: Příklady klíčových projektových prostředků JE a kontejnmentu Klíčové parametry JE / kontejnmentu Komentář Reaktor Typ reaktoru PWR, BWR, AGCR, … Výkon Celkový tepelný výkon při stabilním provozu Typ paliva / typ pokrytí Oxidy, smíšené oxidy / zirkonium, nerez ocel Aktivní zóna Hmotnost paliva a hmotnost pokrytí Aktuální provozní hodnoty Geometrie palivových kazet Aktuální provozní hodnoty Typ a hmotnost řídících tyčí Aktuální provozní hodnoty Prostorové rozdělení výkonu reaktoru Typické axiální a radiální nejvyšší hodnoty Celková hodnota zbytkového výkonu jako funkce Zbytkové teplo času Inventář radioaktivního materiálu Celkový inventář radionuklidů v AZ Chladící systém reaktoru Chladivo a typ moderátoru Voda, těžká voda, CO , helium, aj. Objem chladiva I.O a moderátoru Dle projektu Objem HA a hodnoty otvíracího tlaku Aktuální provozní hodnoty Zařízení a procedury pro odtlakování I.O Uvést klíčové hodnoty a procedury Hltnost odlehčovacích ventilů Aktuální provozní hodnoty Izolace průchodek kontejnmentu spojených Potenciál pro obtok kontejnmentu s chladicím systémem reaktoru Kontejnment Geometrie kontejnmentu Tvar a oddělení vnitřních objemů Volný objem kontejnmentu Reálný stav Projektový tlak a teplota kontejnmentu Realistické ohodnocení maximálních hodnot Konstrukční materiál kontejnmentu Ocel, beton, další Provozní tlak a teplota Aktuální provozní hodnoty Způsoby kontroly a řízení množství vodíku Inertizace, zapalovače, pasivní rekombinátory,… Objem barbotážního systému Objem vody a atmosféry Kapacita chladiče kontejnmentu Aktuální provozní hodnoty Přísady betonu Uvést chemické složení Šachta a základová deska Potenciál pro zaplavení šachty Zaplavená versus suchá Jímky, objemové filtry Geometrie, materiály Vzdálenosti od hranic kontejnmentu Vzdálenost od TNR, šachty a základové desky Vnitřní předpisy a umístění ventilace kontejnmentu Umístění ventilačních linií Odezva na vnější události Poškození struktury seismicitou nebo zaplavením Potenciál pro selhání izolace kontejnmentu Opatření proti úniku a spolehlivost ucpávek Potenciál pro chlazení taveniny Týká se zejména JE Generace III+

Po té, co se tým, který bude vyvíjet PSA 2. úrovně, seznámí s projektem JE a výše uve- denými prostředky důležitými pro rozvoj těžké havárie a úniky RaL, je třeba shromáždit a uspořádat kvantitativní data určená pro další analýzy specifické pro danou JE. Data potřebná pro PSA 2.úrovně závisí jednak na rozsahu analýzy a jednak na typu používa- ných výpočtových kódů.

Veškerá data musí být získávána z kvalifikovaných zdrojů, jako jsou:

• projektová dokumentace,
• konstrukční výkresy,
• vnitřní předpisy JE pro provoz, údržbu a testy,
• expertní výpočty nebo analytické zprávy,
• vlastní pozorování na základě pochůzek,
• stavební normy,
• manuály dodavatelů.
Součástí dokumentace PSA musí být reference obsahující veškeré použité datové zdroje.

Pokud se při vývoji PSA 2. úrovně využívá dat z referenční JE, je třeba tato data porov- nat s daty z konkrétní JE, pro niž je PSA 2.úrovně vyvíjena. Takové srovnání má velký význam pro určení, zda si jsou dané dvě JE skutečně podobné a zda je tedy pravděpo- dobné, že se u nich budou projevovat i obdobné poruchové módy. Příklady porovnáva- ných parametrů jsou uvedeny v Tabulce 3. Tabulka 3: Příklady porovnání projektových prostředků JE a kontejnmentu Sledovaný parametr Význam Časy rozvoje těžké havárie, dostupné časy na ná- Poměr výkonu reaktoru k objemu I.O. pravné akce Poměr výkonu reaktoru k objemu kontejn- Odhady zatížení kontejnmentu mentu Poměr hmotnosti Zr k volnému objemu Potenciál pro výbuchy, odhady zatížení kontejn- kontejnmentu mentu Potenciál pro šíření / rozptyl ŠP, vysokotlaké vy- Cesty ze šachty reaktoru do kontejnmentu puzení taveniny Tvorba nekondenzovatelných plynů a únik radio- Složení betonu (přísady) aktivního materiálu při MCCI

Interface mezi PSA 1. a 2. úrovně

Tato část popisuje doporučení pro vývoj interface mezi PSA 1. úrovně a PSA 2. úrovně, což zahrnuje zejména analýzu a třídění výsledků z PSA 1.úrovně, které je třeba provést za účelem vytvoření vstupů nezbytných pro PSA 2.úrovně. V případě, že je PSA 2. úrovně součástí integrovaného PSA modelu zahrnujícího obě dvě úrovně, pak není třeba interface explicitně definovat.

PSA 1. úrovně identifikuje velké množství havarijních sekvencí, které vedou na poško- zení paliva v AZ či v BS. Ukazuje se, že při hodnocení rozvoje těžké havárie, odezvy kontejnmentu a úniku radionuklidů PSA 2.úrovně není praktické ani užitečné, zejména u PSA pro plný výkon, zabývat se zvlášť jednotlivě každou havarijní sekvencí. Havarij- ní scénáře je třeba sdružit do stavů poškození JE takovým způsobem, aby všechny těžké havárie spadající do daného stavu poškození JE mohly být zpracovány pro účely PSA 2. úrovně stejným způsobem.

Pokud je to nutné, je možné modely havarijních sekvencí v PSA 1. úrovně přizpůsobit, aby splňovaly konkrétní požadavky PSA 2.úrovně. Stavy poškození JE musí reprezen- tovat skupiny havarijních sekvencí, které (1) mají podobný časový vývoj a (2) obdob- ným způsobem zatěžují kontejnment a tím vedou k podobnému rozvoji události a srov- natelnému zdrojovému členu. Je třeba identifikovat atributy rozvoje těžké havárie, které ovlivňují časový sled událostí těžké havárie, odezvu kontejnmentu nebo úniky radioak- tivních látek do okolí JE. Atributy stavů poškození JE poskytují okrajové podmínky pro následnou vlastní analýzu těžké havárie.

Stavy poškození JE pro PSA pro interní iniciační události pro plný výkon

Obecně lze stavy poškození JE klasifikovat do dvou hlavních tříd:

• Radioaktivní látky se uvolní z primárního okruhu či BS do kontejnmentu,
• dojde k obtoku kontejnmentu nebo je kontejnment neúčinný.

Z tohoto důvodu stavy poškození JE musí specifikovat také stav kontejnmentu (napří- klad neporušený a izolovaný, neporušený ale neizolovaný, selhání, obtok) a pro případy s obtokem musí být uveden typ a velikost obtoku (například ztráta chladiva přes vložené systémy, prasknutí trubky parogenerátoru). Pokud je pravděpodobné, že budova reakto- ru nebo reaktorový sál (popř. jiné bariéry) budou mít výraznější vliv na zdrojový člen, pak je třeba jejich stav zahrnout také do stavu poškození JE. Pro stavy poškození JE s neporušeným kontejnmentem je třeba provést analýzu stromu událostí kontejnmentu. Pro ostatní stavy poškození JE je potřeba pouze analýza zdrojového členu, ačkoliv ana- lýza stromu událostí kontejnmentu může být vhodná pro zohlednění vlivu různých jevů a zařízení, která mohou omezit zdrojový člen (činnost sprchového systému kontejnmen- tu)

V následující tabulce jsou uvedeny příklady atributů, které mohou být uvažovány při de- finování výše uvedených dvou tříd stavů poškození JE. Tabulka 4: Příklady atributů pro stavy poškození JE Atribut Stav, komentář Velká LOCA Malá LOCA Iniciační událost Zaseknutí odlehčovacích nebo pojistných ventilů v otevřené poloze Transient Obtok (Interfacing LOCA, prasknutí trubky PG) Vysoký (zapojení odlehčovacích ventilů) Tlak primárního okruhu při poškození Střední (nad závěrným tlakem NT čerpadel) AZ Nízký (včetně metody odtlakování) Veškeré havarijní chlazení selže (časné poškození) Stav systému havarijního chlazení a Havarijní chlazení úspěšně zahájeno, selhal přechod na recirkulaci (poz- dalších chladicích systémů (časování dější poškození AZ) poškození AZ) Chlazení funkční až po poškození AZ nebo po protavení nádoby Dostupnost chlazení PG Sprchy (1.stále v provozu, 2.selhání na vyzvání, 3.funkční na začátku, selžou při přepnutí na recirkulaci) Barbotážní systém (1.neustále provozuschopný, 2.neprovozuschopný Stav bezpečnostních technických pro- (vypuštěný nebo časný obtok), 3.pozdní obtok) středků kontejnmentu Ventilátory (1.stále v provozu, 2.selhání na vyzvání, 3.pozdní selhání) Ventilační systémy (1.stále v provozu, 2.selhání na vyzvání, 3.pozdní selhání) Neporušený a izolovaný v okamžiku poškození AZ Neporušený ale neizolovaný v okamžiku poškození AZ Stav kontejnmentu Selhání struktury nebo zvýšený únik (s indikací velikosti a umístění úni- ku)* Neporušený a izolovaný v okamžiku poškození AZ Stav dalších bariér (reaktorová budova, reaktorový sál, popř. jiné přilehlé bu- Neporušený ale neizolovaný v okamžiku poškození AZ dovy) Selhání struktury nebo zvýšený únik * * To zahrnuje všechny vnější události, které mohou poškodit struktury kontejnmentu. Stavy selhání JE bez obtoku kontejnmentu

Při specifikaci stavů poškození kontejnmentu, které nejsou iniciovány obtokem kon- tejnmentu, je třeba brát v úvahu poruchy zařízení a systémů identifikovaných v PSA 1. úrovně, které by mohly ovlivnit způsob ohrožení kontejnmentu nebo únik radioaktivní. Zejména je třeba zohlednit následující aspekty:

• typ IU,
• poruchový mód chlazení AZ (ztráta chladiva I.O., ztráta odvodu tepla přes
II.O.,…),
• rozsah poškození paliva,
• tlak v primárním okruhu v okamžiku poškození AZ a stav pojistných a odlehčova-
cích ventilů a dalších komponent, které mohou ovlivnit tlak v TNR před selháním dna TNR - tlak v TNR v okamžiku selhání dna nádoby je významný z toho důvo- du, že může významně ovlivnit způsob rozprostření trosek v kontejnmentu; tlak v TNR po poškození AZ také ovlivňuje pravděpodobnost prasknutí primárního ok- ruhu vlivem vysoké teploty a tlaku.

Stav technických prostředků zajištění bezpečnosti kontejnmentu je velmi důležitý při určování odezvy kontejnmentu a takovéto technické prostředky musí být brány v úvahu při sdružování havarijních sekvencí do stavů poškození JE, neboť mohou ovlivnit chla- zení kontejnmentu, odvod radioaktivní, promíchávání výbušných plynů apod. Jiné atri- buty stavů poškození JE mohou být významné v případě některých specifických aplika- cí PSA. Pokud je například PSA využívána pro pomoc při hledání opatření zaměřených na zvládnutí těžké havárie, pak musí být brán v úvahu také stav elektrického napájení, neboť tato informace může být potřebná v některé pozdější fázi analýzy. Stavy selhání kontejnmentu s obtokem kontejnmentu

Pro stavy poškození JE s obtokem kontejnmentu musí být hlavní pozornost věnována atributům souvisejícím se snížením koncentrace radioaktivní podél únikových cest nebo atributům ovlivňujícím časování úniků. To mohou být například tyto atributy:

• typ IU,
• stav systému havarijního chlazení (včetně načasování selhání),
• izolovatelnost únikové cesty po nějaké době,
• zda vede úniková cesta přes vodní médium (například parogenerátor nebo zapla-
vené kobky / místnosti). Pro úniky do pomocné budovy a jejich ekvivalenty může být užitečné brát v úvahu stav odvodních filtračních systémů, vytápění, ventilace, klimatizace, popřípadě zda je únik omezen zaplavením. Redukce stavů poškození JE

Pokud vede sledování všech faktorů a parametrů, které mohou ovlivnit PSA 2. úrovně, k příliš velkému množství potenciálních stavů poškození JE, pak je třeba jejich počet přiměřeně redukovat. K tomu je možné využít dva způsoby:

• Sloučení podobných stavů poškození JE a výběr reprezentativní sekvence, která
bude pro účely PSA 2.úrovně charakterizovat daný stav poškození JE.
• Využití odseku frekvence CDF (FDF) jako prostředku pro zanedbání méně vý-
znamných stavů poškození JE. Před aplikací kritéria odseku frekvence je ovšem nezbytný pečlivý výběr sekvencí a to zejména pro stavy poškození JE zahrnující velké a časné úniky radionuklidů do životního prostředí. V každém případě je třeba při procesu výběru brát v úvahu variabilitu a nejistoty vstupují- cí do PSA 2.úrovně při sdružování havarijních sekvencí do stavů poškození JE a musí se také zvážit, jak toto ovlivní konkrétní cíle PSA.

Obecně platí, že pokud je PSA 2. úrovně rozšířením PSA 1. úrovně, která byla původně vytvořena bez záměru navázání PSA 2.úrovně a PSA 3.úrovně, je pravděpodobné, že některé konkrétní aspekty důležité pro specifikaci stavů poškození JE nebyly původně uvažovány. V takovém případě například se PSA 1.úrovně pravděpodobně nezabývala stavem systémů kontejnmentu nebo jiných systémů, které neměly vliv na vlastní poško- zení AZ či paliva v BS. Pak je třeba PSA 1.úrovně rozšířit o chybějící aspekty význam- né pro stav poškození JE (viz Tabulka 4). Jednou metodou pro začlenění chybějících systémů do PSA je vytvoření takzvaných překlenovacích stromů (bridge trees), které se napojí na modely systémů PSA 1.úrovně, čímž také pokryjí významné závislosti (na- příklad podpůrné systémy, zásahy obsluhy, apod.).

Rozšíření rozsahu PSA 2. úrovně na další iniciační události

Při rozšíření rozsahu PSA 2. úrovně o vnitřní a vnější rizika je třeba vzít v úvahu jejich vliv na systémy nezbytné pro zmírnění těžkých havárií včetně systémů podpory akcí ob- sluhy a dopadu na integritu kontejnmentu. To může vést v některých případech ke vzni- ku nové sady stavů poškození JE. Například při zemětřesení existuje výrazný potenciál pro indukované selhání kontejnmentu. Systémový analytik proto musí uvážit potřebu zavedení nových stavů poškození JE nebo sloučení se stávajícími stavy. Například ně- která selhání kontejnmentu mohou být sloučena se selháním izolace.

Rozšíření rozsahu PSA 2. úrovně na další provozní stavy

Rozdíly v PSA 2. úrovně týkající se provozních režimů a hladiny výkonu ve chvíli, kdy dojde k IU, vyplývají hlavně z rozdílu v inventáři a ve stavu primárního okruhu a kon- tejnmentu. Stavy poškození JE vytvořené pro plný výkon mohou ovšem být použité až po zohlednění specifik režimů provozu na nízkém výkonu a při odstávce, kdy může být kontejnment otevřený. Přímé použití stavů poškození JE definovaných pro plný výkon tedy nemusí být vždy možné. Specifické podmínky spojené s nízkým výkonem a od- stávkou obecně vyžadují identifikaci dodatečných atributů, které nejsou obvykle pro pl- ný výkon používány.

Pokud existují významné rozdíly, které mohou mít výrazný dopad na chování JE během těžké havárie, pak musí být pro provoz na nízkém výkonu a pro odstávku definovány dodatečné stavy poškození JE. Jako příklady pro tlakovodní reaktory lze uvést: stavy s otevřeným reaktorem při výměně paliva nebo neizolovaný kontejnment opět při mani- pulacích s palivem. Dodatečnými atributy, které proto musí být navíc (oproti provozu na plném výkonu) uvažovány při definování stavů poškození JE při provozu na nízkém výkonu a při odstávce, jsou například stav kontejnmentu, hladina chladiva, těsnost pri- márního okruhu, apod.

Rozvoj těžké havárie a analýza chování kontejnmentu

Analýza chování kontejnmentu během těžké havárie

Tato část analýzy předpokládá existenci nějakého typu pasivní struktury se schopností odolat některým podmínkám následujících po těžké havárii AZ reaktoru či BS a zadržet tak velkou část unikajícího radioaktivního materiálu. Nejčastějším případem takové pa- sivní struktury mnoha projektů JE je kontejnment zahrnující také související systémy kontejnmentu. Pokud taková struktura neexistuje, není možné analýzu popsanou v této kapitole realizovat bez větších úprav.

- (3.643), (3.651),

Pro realistické hodnocení chování kontejnmentu a jeho krajních mezí je třeba shromáž- dit detailní informace o projektové struktuře kontejnmentu a všech jeho průchodkách, jejichž příklady uvádí Tabulka 5.Speciální pozornost je pak třeba věnovat zejména úni- kům skrze ocelovou výstelku nebo průchodky. Tabulka 5: Příklady významných prostředků projektu struktury kontejnmentu Typ kontejn- Ocel mentu Beton (předpjatý, dodatečně předpínaný, vyztužený) Otvory pro zařízení Otvory pro personál Průchodky kon- Průchodky pro potrubí tejnmentu Elektrické průchodky Trasy pro čištění atmosféry Ventilační trasy Geometrický tvar kontejnmentu (kulový, válcový, obdélníkový) Nespojitosti kontejnmentu (přechody od válcového tvaru k vrchlíku a k Další aspekty základové desce) Připevnění výstelky Interakce s okolními strukturami

Stanovení maximální meze pevnosti kontejnmentu pro danou JE lze provést pomocí strukturálních výpočtů přímo pro konkrétní JE nebo (v závislosti na rozsahu PSA 2. úrovně) s využitím existujících výpočtů pro obdobně projektovaný kontejnment. V druhém případě ovšem musí dokumentace PSA obsahovat podrobné zdůvodnění pro využití existujících analýz. V tomto zdůvodnění je třeba demonstrovat podobnosti obou projektů a aplikovatelnost existujících analýz strukturální odezvy na danou JE.

V PSA analýzách se při charakterizování ztráty integrity kontejnmentu obvykle použí- vají dva přístupy:

• Prahový model. Tento model definuje s jistou úrovní nejistoty prahový (hraniční)
tlak, při němž se očekává velké selhání kontejnmentu s rychlým odtlakováním kontejnmentu (tj. únikem jeho atmosféry) do okolí.
• Model úniku před prasknutím. V tomto modelu se předpokládá, že malé úniky
z kontejnmentu předchází velkým selháním. Únik z kontejnmentu tedy nastává již při tlaku nižším než je uvažovaný tlak odpovídající maximální mezi pevnosti a po- stupně narůstá až k hodnotě maximální meze pevnosti, kdy se již předpokládá vel- ké selhání kontejnmentu. Navíc pokud je množství dodatečně dodávaného materiá- lu a energie do atmosféry kontejnmentu menší nebo rovno únikům, pak nelze oče- kávat natlakování kontejnmentu a je tak zamezeno velkému selhání kontejnmentu.

Pokud jsou potřeba odpovídající výpočty pro konkrétní JE, pak musí být analýzy cho- vání kontejnmentu založeny na prověřených strukturálních modelech. Při takové analý- ze je třeba věnovat pozornost různým typům zatížení kontejnmentu, jako například sta- tickému tlakovému zatížení, lokálnímu tepelnému zatížení a lokálnímu dynamickému tlakovému zatížení. Tyto podpůrné analýzy poskytují technický základ pro určení poru- chových módů kontejnmentu, určení lokalizace, velikosti a maximálních možných tlaků a teplot.

Ačkoliv vnitřní tlakové zatížení kontejnmentu je rozhodujícím činitelem případného se- lhání kontejnmentu, je v PSA 2.úrovně také třeba věnovat pozornost možným vlivům zvýšené teploty na chování různých struktur kontejnmentu. Teplota kontejnmentu může jednak ovlivnit meze pevnosti jednotlivých materiálů a jednak způsobit degradaci ucpá- vek průchodek kontejnmentu.

Při určování strukturální odezvy kontejnmentu je třeba také stanovit nejistoty související s odhady maximálních hodnot teploty a tlaku při současném udržení integrity kontejn- mentu.

Je třeba prověřit vliv rozsáhlého narušení betonových struktur vlivem dlouhodobého pů- sobení roztavených trosek (MCCI). Jedná se například o prověření odezvy podpůrných struktur TNR, stěn a podlahy kontejnmentu na úplné nebo částečné protavení roztave- nými troskami AZ, pokud výpočty rozvoje těžké havárie ukazují, že jsou takové hava- rijní scénáře možné.

Je třeba identifikovat a analyzovat možná místa protavení kontejnmentu (sací linie jím- ky, průchodky, apod.)

Analýza rozvoje těžké havárie

Pro ocenění chování JE během těžké havárie je preferována specifická analýza rozvoje těžké havárie pro danou JE. Při jejím nejmenším rozsahu je třeba provést výpočty pro všechny stavy poškození JE, které tvoří významný příspěvek k celkové CDF a FDF. Navíc je vhodné provést také výpočty pro stavy poškození JE, které sice mají malou hodnotu CDF (FDF), ale mají velký potenciál vést na velké a/nebo časné úniky radioak- tivního materiálu do životního prostředí – typickými představiteli těchto PDS stavů jsou obtoky kontejnmentu nebo časná selhání kontejnmentu.

Méně precizní přístup, který je doporučeno využít pouze v případě nezbytnosti, předsta- vuje adaptování výsledků analýz jedné nebo více referenčních elektráren podobného ty- pu. Takový přístup je možný například, pokud byla provedena speciální detailní analýza nějakého klíčového jevu pro referenční JE a je tedy žádoucí převzít některé výstupy této referenční analýzy pro podporu výpočtů prováděných pro danou JE. Stále je ovšem tře- ba mít na paměti rozdíly v projektech daných elektráren.

Pro analýzu rozvoje těžké havárie musí být použit jeden nebo více počítačových kódů pro simulaci těžkých havárií. Vhodné jsou například následující integrální kódy:

• MAAP4 (EPRI – USA),
• MELCOR (Sandia National Laboratories pro NRC – USA),
• ASTEC (IRSN, GRS - Francie, Německo),
• MAAP4-CANDU (AECL - Kanada),
• THALES-2 (JAEA – Japonsko).

Výběr počítačových kódů a počet výpočtů závisí na cílech dané PSA. Při tomto výběru je třeba zohlednit následující:

• daný kód musí být schopen modelovat většinu událostí a jevů, které se mohou při
dané těžké havárii vyskytnout,
• daný kód musí být schopen správně postihnout interakce různých fyzikálně-
chemických procesů daného havarijního scénáře,
• rozsah prověření a validace daného kódu včetně související dokumentace musí být
na odpovídající úrovni (tj. musí existovat pozitivní stanovisko SÚJB k jeho použí- vání),
• výpočtový čas a požadavky na další případné zdroje musí být přiměřené.

Analytici si musí být vědomi technických omezení a nedostatků vybraného kódu. Ana- lýzy těžkých havárií musí pokrývat sekvence vedoucí k úspěšnému stabilizovanému stavu (s úspěšným zásahem bezpečnostních systémů) i ke stavu poškození kontejnmen- tu.

Pro pochopení, jak různá nastavení modelu ovlivňují celkové výsledky, je třeba provést citlivostní analýzy. Známé oblasti nejistot modelování s možnými dopady na modelová- ní rozvoje těžké havárie jsou uvedeny v Tabulce 6. Tabulka 6: Příklady oblastí nejistot souvisejících s rozvojem těžké havárie Typ události těžké havárie Související jevy Blokování průtoku chladiva skrze AZ Nafouknutí pokrytí Tvorba vodíku uvnitř TNR Záložní akce a dodávka vody Relokace roztaveného paliva Proudění chladiva v I.O. Nahřívání a creepové prasknutí I.O. (ústí horké větvě, trasy KO, trubky Přirozená cirkulace uvnitř TNR PG) Mechanismy degradace nebo selhání ucpávek HCČ Potenciál pro ukončení poškození paliva uvnitř TNR Rekritičnost Interakce palivo-chladivo uvnitř TNR Explozivní selhání TNR Úniky radioaktivních látek Uchlazení taveniny ve spodní části TNR Typy selhání TNR Omezené selhání spodní části TNR Celkové (creepové) selhání TNR Zachytávání trosek na strukturách kontejnmentu Vývin tepla při tvorbě vodíku z oxidace zirkonia Vysokotlaké vypuzení taveniny a přímý Transport trosek mimo šachtu ohřev kontejnmentu Výbuchy vodíku Úniky radioaktivních látek Fragmentace trosek a jejich ochlazování Kvazi-statický nárůst tlaku v kontejnmentu Interakce palivo-chladivo mimo TNR Dynamické zatížení kontejnmentu parní explozí Úniky radioaktivních látek Erose struktury kontejnmentu troskami Tvorba nekondenzovatelných plynů Interakce taveniny s betonem (CCI) Rozliv trosek a potenciál pro kontakt s hranicemi kontejnmentu Úniky radioaktivních látek Promíchávání a stratifikace atmosféry Inertizace parou Rozvoj hoření a deflagrační plamen Výbuchy vodíku Zrychlené hoření a přechod od hoření k detonaci (DDT) Vznícení a detonace Teplotní ztráty na strukturách kontejnmentu Odezva kontejnmentu na tlakové vlny při detonaci (otevření dveří,…)

Pro kvantifikaci rozvoje těžké havárie je třeba ocenit a zdokumentovat klíčové proměn- né (tlaková a teplotní maxima, množství vytvořených plynů, časování událostí). Pro jednotlivé výsledky je třeba provést diskuzi v dokumentaci PSA.

Tvorba a kvantifikace stromů APET a CET

Stromy událostí v PSA 2. úrovně poskytují strukturovaný přístup pro systematické hod- nocení schopnosti JE zvládnout těžkou havárii. Jsou používány k zobrazení sekvencí událostí a jevů těžkých havárií po výskytu poškození paliva v AZ či v BS, které mohou vést až na únik RaL. Tyto stromy se nazývají „stromy událostí rozvoje havárie“ (APET) nebo stromy událostí kontejnmentu (CET). V tomto Návodu jsou oba termíny používá- ny ve zcela ekvivalentním významu.

Vrcholové události – jednotlivé otázky ve stromu událostí kontejnmentu musí pokrývat události a fyzikální procesy, které určují chronologii těžké havárie, odezvu JE, jednotli- vá ohrožení bariér proti úniku radioaktivních látek a případně velikost úniku radionukli- dů do životního prostředí. Jednotlivé otázky musí také pokrývat akce týkající se zvládá- ní těžké havárie, viz též odstavce (3.662) a (3.663). Je třeba poznamenat, že jednotlivé otázky stromu událostí kontejnmentu jsou silně závislé na typu JE.

Seznam takových vrcholových událostí a s nimi spojených procesů může být poměrně obsáhlý, což je důvod, proč i „stromy událostí rozvoje havárie“ mohou být velmi roz- sáhlé a mít značně komplikovanou logiku. Nicméně pro jisté aplikace (například pouhé ocenění LERF bez kompletního určení zdrojových členů) může být dostačující vyvíjet i poměrně jednoduché logické modely. V každém případě musí být celková struktura modelu zpětně vysledovatelná a přehledná pro případné nezávislé hodnotitele. Z toho důvodu je třeba udržovat rozumnou rovnováhu mezi modelováním detailů a praktickou velikostí stromu událostí.

Struktura stromu událostí kontejnmentu musí být chronologicky správná, musí brát v úvahu závislosti mezi událostmi a/nebo jevy a musí dodržet vhodnou úroveň detailu pro dosažení cílů PSA 2.úrovně. Co se týká chronologie, je užitečná a běžná praxe roz- dělit strom událostí kontejnmentu do 3 fází, kdy přechody mezi fázemi představují vý- znamné změny určující vývoj celé těžké havárie:

• Fáze 1: Okamžitá odezva JE na stav poškození JE způsobený IU v časné fázi po-
škození paliva uvnitř TNR.
• Fáze 2: Pozdní fáze poškození paliva uvnitř TNR do selhání tlakové nádoby reak-
toru.
• Fáze 3: Dlouhodobá odezva JE.

Fáze 3 se někdy dále rozděluje do tří dílčích fází:

• Fáze 3a: Nastává bezprostředně po selhání TNR, pokrývá ohrožení kontejnmentu
vyplývající přímo z poškození TNR, například přímý ohřev kontejnmentu.
• Fáze 3b: Nastává do několika hodin pro selhání TNR a pokrývá okamžité chování
taveniny vně TNR, například stabilizace taveniny mimo TNR nebo výskyt interak- ce betonu s taveninou (CCI).
• Fáze 3c: Tato dlouhodobá fáze začíná několik hodin po selhání TNR a pokrývá
ohrožení kontejnmentu vyplývající z chování taveniny mimo TNR, například tla- kování z důvodu tvorby nekondenzovatelných plynů během CCI, výbuchy, tlako- vání z důvodu vývinu páry. Příklady typické struktury a otázek stromu událostí kontejnmentu pro typický tlakovodní re- aktor s velkým suchým kontejnmentem jsou uvedeny v Tabulce 7. Tabulka 7: Příklady otázek stromu událostí kontejnmentu pro tlakovodní reaktor # Strom událostí kontejnmentu Závislost na # Typ otázky Fáze 1: Od IU do poškození AZ uvnitř TNR (včetně) 1 Je kontejnment izolován? - PDS stav Jaký je podíl stavu poškození JE (PDS) s dostupným zajištěným napájením 2 - PDS stav II. kategorie? 3 Jaký je stav sprch ve velmi časné fázi? - PDS stav 4 Jaký je stav ventilátorů ve velmi časné fázi? - PDS stav Závisí na havarij- 5 Je I.O. odtlakován ručně ve velmi časné fázi? 2 ních předpisech Vyskytlo se prasknutí horké větve způsobené vysokou teplotou ve velmi Rozvoj těžké havá- 6 5 časné fázi? rie Vyskytlo se prasknutí trubky PG způsobené vysokou teplotou ve velmi čas- Rozvoj těžké havá- 7 5, 6 né fázi? rie 8 Je ZN II. kategorie obnoveno ve velmi časné fázi? 2 PDS stav Rozvoj těžké havá- 9 Je sprchový systém spuštěn ve velmi časné fázi? 3, 6, 8 rie Rozvoj těžké havá- 10 Dojde k výbuchu vodíku ve velmi časné fázi? 4, 5, 6, 8, 9 rie Rozvoj těžké havá- 11 Dojde k selhání kontejnmentu ve velmi časné fázi? 1, 10 rie 12 Podaří se kontejnment izolovat ve velmi časné fázi? 1, 8 PDS stav Rozvoj těžké havá- 13 Je filtrační ventilační systém spuštěn ve velmi časné fázi? 1, 10, 11 rie Fáze 2: Od poškození AZ až do prasknutí TNR (včetně) Rozvoj těžké havá- 14 Je poškození AZ zastaveno v TNR a zabráněno tak prasknutí TNR? 5, 6, 7 ,8 rie Dojde k energetické interakci paliva s chladivem s následným poškozením Rozvoj těžké havá- 15 5, 6, 7, 14 TNR a kontejnmentu? rie Rozvoj těžké havá- 16 Jaký je typ selhání TNR a vypuzení trosek AZ? 5, 6, 7, 14, 15 rie Rozvoj těžké havá- 17 Dojde k vystřelení nádoby (raketa) a následnému poškození kontejnmentu? 16 rie 18 Je šachta reaktoru suchá nebo zaplavena v okamžiku prasknutí TNR? - PDS stav a projekt Jaký je typ interakce paliva s chladivem v šachtě reaktoru po prasknutí Rozvoj těžké havá- 19 16, 18 TNR? rie Rozvoj těžké havá- 20 Dojde k výbuchu vodíku v okamžiku prasknutí TNR? 4, 8, 9, 10, 14, 16 rie 1, 11, 13, 15, 16, 19, Rozvoj těžké havá- 21 Dojde k selhání kontejnmentu při prasknutí TNR? 20 rie Rozvoj těžké havá- 1, 11, 13, 15, 16, 19, rie 22 Jsou filtrační ventilační systémy spuštěny při prasknutí TNR? 20, 21 # Strom událostí kontejnmentu Závislost na # Typ otázky Fáze 3: Dlouhodobá odezva JE 23 Je střídavé napětí obnoveno v pozdní fázi? 8 PDS stav PDS stav / rozvoj 24 Jsou sprchy spuštěny nebo pracují v pozdní fázi? 23, 9 těžké havárie 25 Jsou chladiče ventilátorů spuštěny nebo pokračují v provozu v pozdní fázi? 4, 8 PDS stav 26 Jaký je stav ventilátorů a sprch v pozdní fázi? 24, 25 Sumární otázka Rozvoj těžké havá- 27 Jsou trosky AZ v uchladitelné konfiguraci mimo TNR? 15, 16, 17, 18, 19 rie Rozvoj těžké havá- 28 Dojde k detonaci vodíku v pozdní fázi? 10, 20, 26 rie 1, 10, 11, 13, 15, 21, Rozvoj těžké havá- 29 Dojde k selhání kontejnmentu v pozdní fázi? 26, 20, 28, 19 rie 1, 10, 11, 13, 15, 19, Rozvoj těžké havá- 30 Dojde ke spuštění filtračních ventilačních systémů v pozdní fázi? 20, 21, 26, 27, 28 rie Rozvoj těžké havá- 31 Dojde k protavení základové desky? 11,12,21,22,27,29,31 rie Rozvoj těžké havá- 32 Jaké jsou módy selhání kontejnmentu? 11, 21, 29 rie Nápravné akce pro zvládání těžkých havárií a problematika zařízení

Činnosti zaměřené na zvládnutí těžkých havárií musí být v PSA 2. úrovně zahrnuty. Ty- picky by akce zohledněné v PSA měly být součástí havarijních provozních předpisů a návodů pro zvládání těžkých havárií. Akce požadované brzy po poškození paliva v AZ či v BS mohou být součástí stromů PSA 1.úrovně, pokud lze podmínky pro jejich reali- zaci předvídat s dostatečnou jistotou. Ostatní činnosti pro řízení TH, které nejsou za- stoupeny v PSA 1.úrovně, je třeba zahrnout do stromu událostí kontejnmentu. Obvykle se jedná o činnosti, které lze očekávat později v průběhu TH, například opětné zaplnění PG pro snížení úniků přes poškozené trubky PG nebo restartování nízkotlakého napájení po snížení tlaku I.O. PSA 2.úrovně pak musí být zpětně využívána pro identifikaci a vylepšení činností pro zvládání TH, jak je podrobněji diskutováno v kapitole 3.5.7 Ná- vodu.

Je třeba zajistit, aby byly uváženy a správně ohodnoceny možné závislosti mezi zásahy obsluhy zahrnuté v havarijních sekvencích PSA 1.úrovně a stromů událostí kontejn- mentu pro PSA 2.úrovně. Kvantifikace selhání lidských zásahů musí být konzistentní s PSA 1.úrovně. Stejně tak musí být správně zahrnuty závislosti týkající se dostupnosti zařízení.

V rámci PSA 2. úrovně musí být také uvážen a vhodně ohodnocen vliv okolních podmí- nek prostředí kontejnmentu, které jsou následkem těžké havárie, na funkčnost kompo- nent a zařízení. Tyto vnější podmínky mohou zahrnovat teplotu, tlak, vlhkost, radiační podmínky, popřípadě vliv energetických událostí jako jsou krátkodobé teplotní nebo tlakové špičky, tlakové rázy způsobené detonacemi nebo parními výbuchy.

V logice stromu událostí je také třeba zohlednit možné negativní vlivy činností zaměře- ných na zvládnutí TH. Například dodávka vody do poškozené aktivní zóny může zasta- vit rozvoj TH, nicméně existuje zde také určitý potenciál pro silně energetickou reakci paliva s vodou, rozdrolení paliva a dodatečné úniky páry, vodíku a radioaktivního mate- riálu. Kvantifikace stromu událostí kontejnmentu

Přiřazení podmíněných pravděpodobností jednotlivým větvím stromu událostí kontejn- mentu musí být prováděno na základě zdokumentované analýzy a podpůrných dat, aby bylo možné získat informaci také o nejistotách pro jednotlivé otázky. Pozornost musí být věnována také otázkám, které mohou ovlivnit schopnost analytika předvídat rozvoj TH, jako jsou například úplnost, spolehlivost a validace dostupných počítačových kódů či aplikace dostupných experimentálních dat na podmínky těžké havárie skutečného re- aktoru.

Zdůvodnění užité při odvození vhodné pravděpodobnosti pro každou větev může být někdy jasnější při rozložení problému do více částí dle určujících jevů. Taková hodno- cení mohou být potom provedena odděleně a popsána v podpůrné dokumentaci výsled- ků použitých v jednotlivých otázkách stromu událostí kontejnmentu (CET) nebo mohou být integrální součástí stromu CET ve formě dekompozičních stromů událostí připoje- ným k záhlavím stromu CET. Stupeň integrace do kvantifikace stromu CET je principi- álně závislý pouze na schopnostech softwaru použitého pro kvantifikace PSA 2.úrovně. Pro vytvoření a kvantifikaci stromů CET se používají propojené stromy událostí, stromy poruch, výpočetní funkce definované uživateli a další metody.

Bez ohledu na přístup užívaný pro odvození hodnot pravděpodobností jednotlivých udá- lostí zahrnutých ve stromu CET musí být celý proces zpětně vysledovatelný, aby byli případní hodnotitelé a uživatelé schopni dohledat a pochopit jednotlivá zdůvodnění. Na- víc musí být celý postup konzistentní pro všechny události a otázky definované ve stro- mu CET. Pro přiřazení konkrétních pravděpodobností je možné využít několik zdrojů:

• deterministické analýzy využívající pro modelování TH etablované počítačové kó-
dy,
• odpovídající experimentální měření a pozorování,
• analýzy a výsledky PSA z podobných elektráren,
• expertní odhady nezávislých expertů.

Znalosti o průběhu těžkých havárií se poměrně intenzivně vyvíjejí a nové PSA 2. úrovně proto musí zohledňovat nejnovější znalosti v jednotlivých oblastech, jako jsou:

• exploze uvnitř TNR (alfa mód selhání kontejnmentu) [G31],
• přímý ohřev kontejnmentu [G32],
• selhání dna TNR [G33, G34],
• hoření vodíku a přechod od hoření k detonaci (DDT) [G35].

Takzvaný „prahový přístup“ může být využit při stanovení pravděpodobností událostí, které nastanou, když se predikované podmínky těžké havárie přiblíží stanovené hodnotě nebo kritériu. Pravděpodobnost selhání je tedy funkcí „jak blízko“ je daný parametr hraniční / mezní hodnotě. Přiřazení numerických hodnot tedy indikuje jistotu analytika v přesnost a úplnost deterministických předpovědí týkajících se daného jevu.

V případě „integrálního přístupu“ je aplikován složitější matematický přístup pro po- rovnání, jak blízko je sledovaný parametr (tlak, teplota) mezní hodnotě selhání (tlak se- lhání, teplota selhání). Oba parametry (sledovaný i mezní) jsou pojímány jako nejisté parametry. Funkce hustoty pravděpodobnosti reprezentující pravděpodobnostní rozlože- ní těchto nejistých parametrů jsou odvozeny na základě deterministických analýz a ex- pertního odhadu. Překrývající se část těchto dvou pravděpodobnostních rozdělení určuje míru jistoty v selhání dané funkce. V tomto případě je konzistentnost výsledných hodnot pravděpodobností závislá na konzistentním přiřazení parametrů rozdělení (hodnoty me- diánu, odchylky od mediánu, výběr typu rozdělení a meze).

Oba přístupy z předchozích 2 odstavců je možné aplikovat odděleně nebo je v PSA kombinovat. V každém případě je pro zajištění konzistentnosti při odvozování hodnot pravděpodobností třeba stanovit příslušná pravidla a ta popsat v dokumentaci PSA.

Analýza nejistot

Nejistoty v analýze PSA 2. úrovně jsou důsledkem několika faktorů:

• Nejistoty vyplývající z neúplnosti. Vyjadřují nejistotu, že byly identifikovány a
správně oceněny všechny významné havarijní scénáře. Tento druh nejistot je ob- tížné kvantifikovat.
• Ztráta detailů při sdružování. Tyto nejistoty vyplývají z nutného sdružování sek-
vencí v různých fázích analýzy, jak bylo popsáno v odstavci (3.597). Tento druh nejistot je také obtížné nebo dokonce nemožné kvantifikovat.
• Nejistoty modelování jsou způsobeny nedostatky znalostí týkající se vhodnosti po-
užitých metod, modelů, předpokladů a aproximací užitých při různých podpůrných analýzách PSA 2.úrovně.
• Nejistoty parametrů. Jedná se o nejistoty spojené s hodnotami základních parame-
trů užitých při kvantifikaci PSA 2.úrovně (intenzity poruch, frekvence IU). Tento druh nejistot je obvykle zohledněn analýzou nejistot přidělením konkrétního roz- dělení nejistot každému parametru. První a třetí typ nejistot je obvykle označován jako epistemické nejistoty (tj. nejistoty způsobené nedostatkem znalostí). V některých událostech v PSA 2.úrovně mohou být zastoupeny také aleatorní (náhodné) nejistoty.

Vzhledem k tomu, že ve stromu CET jsou využívány pravděpodobnosti odrážející nejis- totu analytika týkající se správnosti zvolených parametrů a výsledků událostí zahrnutých ve stromu CET, je PSA 2.úrovně určitým způsobem spojena s analýzou nejistot auto- maticky.

Analytik PSA 2. úrovně musí identifikovat hlavní zdroje nejistot přímo během analýzy a musí kvantitativně vyjádřit vliv těchto nejistot na hlavní výsledky. Toho lze dosáhnout dvěma způsoby:

• citlivostní analýzou a
• parametrickou analýzou nejistot.

Zatímco citlivostní analýza se používá pro ocenění změny výsledků v případě výběru al- ternativních modelů, hypotéz či hodnot vstupních parametrů, parametrická analýza ne- jistot zkoumá rozsah alternativních modelů nebo hodnot parametrů, přiděluje jim prav- děpodobnosti a vytváří rozdělení výsledků, kde základní výsledky (bodové hodnoty) re- prezentují pouze jeden z možných výstupů. Obecně lze proces kvantifikace a šíření ne- jistot PSA modelem v PSA 2.úrovně rozdělit do 4 hlavních kroků - odstavce (3.678 -

): Krok 1: Specifikace rozsahu analýzy nejistot

Zdrojů nejistot je velké množství a je nepraktické je všechny kvantifikovat odděleně. Zkušenosti s analýzou nejistot ukazují, že různé druhy nejistot mají různý vliv na vý- sledky a je tedy možné odhadnout celkovou nejistotu (sdružující různé zdroje nejistot) výběrem pouze dominantních nejistot a jejich následným detailním oceněním.

Užitečný nástroj pro výběr dominantních zdrojů nejistot pak představuje právě citlivost- ní analýza. Příklady oblastí nejistot týkajících se při rozvoje TH jsou uvedeny v Tabulce 6. Krok 2: Popis a ocenění zdrojů nejistot

Druhým krokem analýzy nejistot je určení rozsahu hodnot pro každý nejistý parametr, kdy každá hodnota daného nejistého parametru je spojena s určitou pravděpodobností, čímž představuje funkci hustota pravděpodobnosti neboli pravděpodobnostní rozdělení. V mnoha případech je toto rozdělení určeno přímo ve stromu událostí kontejnmentu při- dělením pravděpodobností různým diskrétním hodnotám. Další parametry, které lze také popsat a ocenit pomocí pravděpodobnostního rozdělení (například parametry pro výpo- čet zdrojových členů) není nutné zohledňovat explicitně ve stromu CET.

Volba pravděpodobnostních rozdělení každého parametru se musí opírat o relevantní data, analýzy a dostupnou odbornou literaturu. Krok 3: Šíření nejistot PSA modelem

Jedná se o přenos (šíření) informace o nejistotách od zadání hodnoty konkrétního nejis- tého jevu celým modelem PSA 2.úrovně až po jeho výsledky; každá nejistota jednotli- vých dílčích jevů zadaných na začátku se tedy musí projevit i v nejistotě výsledných vý- stupů. Tento přenos informace o nejistotách lze zajistit několika způsoby s využitím různých metod v závislosti na cílech analýzy nejistot. Příklady dostupných technik jsou:

• využití diskrétních rozdělení pravděpodobnosti,
• přímé simulační metody (Monte Carlo, Latine Hypercube).
Krok 4: Popis a interpretace výsledků

Výsledky analýzy nejistot musí být kvůli posílení hodnoty celkových závěrů PSA 2. úrovně pečlivě zhodnoceny, rozebrány a zdokumentovány

Pokud je místo podrobné analýzy nejistot provedena citlivostní analýza, je třeba zavést míry indikující vliv alternativních modelů a hodnot parametrů na výsledky PSA 2. úrovně.

Shrnutí a interpretace kvantitativních výsledků stromů CET

Výsledky získané při kvantifikaci stromu událostí kontejnmentu musí být shrnuty a de- tailně analyzovány. Výsledky je možné uvádět například ve formě tzv. matice chování kontejnmentu (C matice), což je zhuštěný způsob porovnání relativní pravděpodobnosti různých výstupů ze stromu CET. C matice udává podmíněnou pravděpodobnost C (m, n), že nastane kategorie úniku RaL „n“ za podmínek stavu poškození JE „m“.

Je třeba identifikovat a vysvětlit hlavní přispěvatele k časnému poškození kontejnmentu (včetně obtoku kontejnmentu a neizolovaného kontejnmentu). Dále musí být analyzová- ny a vysvětleny kořenové příčiny různých variant podmíněných pravděpodobností čas- ného selhání kontejnmentu pro různé stavy poškození JE.

Kombinací výsledků PSA 1. úrovně (frekvence PDS stavů a jejich nejistot) s podmíněnými pravděpodobnostmi různých poruchových módů a typů úniku a jejich nejistot lze určit frekvence a nejistoty spojené s každou kategorií úniku RaL

Mezi výsledky musí být také uveden relativní příspěvek každé kategorie úniku RaL k celkové frekvenci úniku, což umožní snadnou identifikaci dominantních přispěvatelů k celkové frekvenci úniku.

Obecně je vhodné pro každou kategorii úniku RaL vybrat jednu reprezentativní havarij- ní sekvenci a pro ní stanovit zdrojový člen (z jiných PSA analýz nebo provedením spe- ciálních výpočtů). Výběr dané reprezentativní sekvence musí vycházet z frekvence a ná- sledků dané kategorie úniku RaL. Alternativní variantou je určení zdrojových členů pro všechny havarijní sekvence přispívající k dané kategorii úniku RaL. Možné jsou samo- zřejmě i kombinované způsoby, například výběr dvou havarijních sekvencí pro každou kategorii úniku RaL.

Zdrojové členy

Dalším krokem v PSA 2. úrovně je výpočet zdrojových členů spojených s koncovými stavy stromu událostí kontejnmentu. Zdrojové členy určují množství radioaktivního ma- teriálu uvolněného z JE do životního prostředí. V závislosti na rozsahu PSA je možné definovat několik dodatečných charakteristik úniku, viz Tabulka 8.Vzhledem k tomu, že strom CET může mít velké množství koncových stavů, je z praktických důvodů po- třeba tyto stavy sloučit do kategorií úniků RaL. Analýza zdrojového členu je následně prováděna pro tyto kategorie úniku RaL. Pro tento účel je možné použít jeden z integrálních kódů uvedených výše v odstavci (3.653). Tato analýza probíhá v následujících krocích:

• definování kategorií úniku RaL,
• sloučení koncových stavů stromu CET do těchto kategorií úniku RaL,
• provedení analýzy zdrojového členu pro jednotlivé kategorie úniku RaL,
• sloučení kategorií úniku RaL do kategorií zdrojového členu pro účely PSA 3.
úrovně.

Rozsah analýzy zdrojového členu závisí na cílech a zamýšlených aplikacích PSA. Po- kud se předpokládá využití zdrojových členů pro účely PSA 3.úrovně, pak může být se- znam potřebných charakteristik zdrojového členu rozsáhlejší. Analýza následků v okolí JE vyžaduje kompletní popis úniku RaL pro všechny havarijní sekvence přispívající k celkové CDF či FDF. Naopak pro jiné účely může stačit pouze sledování sekvencí ve- doucích na velké časné úniky. V mnoha analýzách PSA 2.úrovně se užívá „zlatá střední cesta“, kdy se sledují všechny úniky radioaktivních látek významné pro celkovou CDF či FDF, ale pouze pro vybrané izotopy. Jako hlavní zástupci celkového zdrojového čle- nu jsou často vybírány jód a cesium.

Specifikace kategorií úniku RaL

Stromy událostí kontejnmentu mají velké množství koncových stavů, kde každý z nich reprezentuje nějakou sekvenci jevů či skutečností dále charakterizovaných, které nasta- nou po poškození paliva v AZ či v BS. Mnoho z nich má značný vliv na únik RaL z kontejnmentu. Jejich hlavní charakteristiky jsou:

• typ selhání systému chlazení reaktoru či BS,
• mód a čas selhání kontejnmentu,
• způsoby chlazení roztavených trosek,
• způsoby zadržení radioaktivního materiálu.

Mnoho koncových stavů stromu CET je ovšem identických nebo velmi podobných z hlediska vyskytnuvších se jevů a následného úniku radioaktivních látek do okolí. Po- dobné koncové stavy je třeba proto sloučit do jediného, aby se snížil počet různých ha- varijních sekvencí, které vyžadují speciální deterministickou analýzu.

Pro definování kategorií úniku RaL je třeba na začátku analýzy PSA 2. úrovně sestavit seznam atributů určujících možné způsoby transportu radioaktivních látek (RaL) a poru- chových mechanismů kontejnmentu. Typické atributy užívané pro lehkovodní reaktory jsou uvedeny v Tabulce 8.Únik RaL je potom funkcí těchto atributů. Tabulka 8: Typické atributy užívané pro specifikaci koncových stavů stromů CET Atributy úniku Varianty Typické atributy PSA 2.úrovně V okamžiku poškození AZ (například obtok kontejnmentu) Časný (během poškození AZ uvnitř TNR) Časový rámec, v němž dojde k úniku Střední (okamžitě po prasknutí TNR) Pozdní (několik hodin po prasknutí TNR) Vysoký (blízko nominálního) Tlak v TNR během poškození AZ Nízký (odtlakováno) Únik na úrovni projektové havárie Únik za hranicemi projektové havárie Katastrofické poškození kontejnmentu Radiační havárie spojené se ztrátou chladiva skrze vložené Módy nebo mechanismy úniků z kontejnmentu systémy Prasknutí trubky PG Otevření izolačních armatur kontejnmentu Protavení dna kontejnmentu Sprchy Aktivní technické prostředky omezující únik Chladící ventilátory / větráky Ra látek Filtrovaná ventilace Další Reaktorová budova Reaktorový sál a případné další struktury Pasivní technické prostředky omezující únik Barbotážní systém Ra látek Zaplavení vodou Členité únikové cesty Zaplavené únikové cesty Dodatečné atributy pro napojení k PSA 3.úrovně Krátký (pro PWR menší než 2 hodiny) Čas od začátku těžké havárie Střední (pro PWR 2 - 10 hodin) Dlouhý (pro PWR větší než 10 hodin) Na úrovni země Místo úniku Zvýšený Nízký Energie úniku Energetický Rychlý únik Typ úniku Pomalý pozvolný únik Několikanásobný oblak

Výše uvedené atributy musí být použity při definování sady kategorií úniku RaL pro analýzu zdrojového členu v PSA 2.úrovně. Pokud je během tohoto procesu generováno příliš velké množství kategorií úniku RaL, je třeba je dále sdružit.

Sdružování koncových stavů stromů CET do kategorií úniku RaL

Po nadefinování kategorií úniku RaL je třeba všechny koncové stavy stromu událostí kontejnmentu sdružit do těchto kategorií úniku RaL. Vzhledem k tomu, že se jedná o sloučení řádově tisíců koncových stavů stromu CET do malého množství kategorií úni- ku RaL (desítky), je třeba ke slučování přistupovat systematicky, nejlépe s využitím po- čítačových kódů. Konkrétní způsob sdružování potom závisí na softwaru použitém pro kvantifikaci stromu CET.

Při sdružování koncových stavů stromu CET musí být zohledněny různé faktory ovliv- ňující únik RaL. Pro většinu aplikací je dostačující rozdělení na základě velikosti a ča- sování úniku. To je možné doplnit zahrnutím atributů důležitých pro analýzu šíření RaL v životním prostředí, popřípadě dalších atributů významných pro PSA 3.úrovně.

Předpokládá se, že všechny koncové stavy stromu CET, které jsou součástí jedné kate- gorie úniku RaL, mají podobné radiologické charakteristiky úniku a obdobné následky pro okolí, takže analýza zdrojového členu dané skupiny charakterizuje všechny koncové stavy dané kategorie úniku RaL, což umožňuje omezit rozsah nezbytných analýz zdro- jových členů.

Frekvence kategorií úniku RaL jsou dány součtem frekvencí všech koncových stavů stromu CET přiřazených do dané kategorie úniku RaL.

Analýza zdrojového členu

Velikost a charakter zdrojových členů ovlivňuje celá řada projektových prostředků JE a jevy, které se při dané radiační havárii uplatňují. První skupinu faktorů ovlivňujících zdrojový člen tvoří neměnné projektové charakteristiky, které jsou pro všechny koncové stavy stejné. Jsou to například:

• konfigurace palivových a regulačních kazet a složení materiálu,
• výkon reaktoru a jeho rozložení,
• stupeň vyhoření paliva,
• složení betonu.

Kromě těchto faktorů je třeba brát v úvahu faktory, které se pro různé havarijní sekven- ce mění:

• tlak v I.O. při poškození AZ a čas selhání TNR,
• dostupnost chladiva (uvnitř TNR i vně TNR),
• tloušťka a složení trosek vně TNR,
• provoz bezpečnostních systémů kontejnmentu (barbotáž, sprchy, …),
• velikost poškození TNR,
• místo poškození kontejnmentu a trasa úniku do okolí.

Jednou z možností postupu je provedení specifické analýzy zdrojového členu pro danou JE a určení velikosti a atributů zdrojového členu pro každou kategorii úniku RaL. To lze provést s využitím výpočetních kódů schopných modelovat chování různých jevů při radiační havárii, jako jsou výpočty termohydraulické odezvy reaktoru, nahřívání AZ, poškození paliva, relokace materiálu paliva, odezva kontejnmentu, úniky RaL z paliva a transport radioaktivních aerosolů a páry primárním okruhem a kontejnmentem.

V analýze zdrojového členu musí být modelovány všechny procesy, které ovlivňují transport RaL uvnitř kontejnmentu i v přilehlých budovách:

• úniky RaL z paliva během časné fáze uvnitř TNR,
• zadržení RaL v primárním okruhu,
• úniky RaL mimo TNR,
• zadržení RaL uvnitř kontejnmentu a v přilehlých budovách.

Při výpočtech zdrojového členu a modelování odezvy JE na těžkou havárii musí být oceněno prostorové rozdělení radionuklidů v primárním okruhu, v kontejnmentu i jejich množství uvolněné do okolí.

Analýza zdrojového členu musí být v rámci každé kategorie úniku RaL provedena pro dostatečné množství havarijních sekvencí, aby dávala jistotu, že byl zdrojový člen pro danou skupinu oceněn správně. V praxi to znamená, že pokud jednotlivé kategorie úni- ku RaL obsahují velice podobné havarijní sekvence a uplatňující se jevy mají poměrně nízký stupeň nejistoty, je možné provést analýzu zdrojového členu pouze pro relativně malé množství havarijních sekvencí. V opačném případě je třeba analyzovat větší počet sekvencí. V současných analýzách PSA 2.úrovně se obvykle analyzuje vždy nejméně jedna sekvence pro každou kategorii úniku RaL.

Analýza zdrojového členu využívající některý z integrálních kódů musí být doplněna detailnějšími modely v případě, že je analýza zdrojového členu některé kategorie úniku RaL výrazně citlivá na některá opatření přijatá v projektu JE nebo na nějaký specifický mechanismus transportu radioaktivního materiálu. Nicméně v některých případech není praktické, popřípadě ani možné provádět specifickou analýzu zdrojového členu pro da- nou JE, a to například pro novou JE v časné fázi projektu, kdy jsou rychle potřeba první předběžné výsledky. V takovém případě je možné pro získání předběžných odhadů zdrojových členů použít zjednodušené parametrické modely.

Další možností je využití analýzy zdrojového členu z jiné referenční JE, kdy projekt i prostředky související s rozvojem těžkých havárií referenční JE jsou dostatečně podobné hodnocené JE. V případě využití výsledků z referenční JE je třeba splnit několik podmí- nek:

• Je třeba prověřit dostatečnou podobnost s referenční JE, tj. projektové prostředky
ovlivňující transport RaL a jejich zadržení v TNR, potrubí chladicího systému a struktury kontejnmentu.
• Je třeba prověřit, že havarijní sekvence modelované v analýze pro referenční JE
jsou dostatečně podobné sekvencím analyzované JE. Rozdíly v provozu bezpeč- nostních systémů reaktoru nebo systému kontejnmentu mohou znemožnit přenosi- telnost výpočtů referenční JE na konkrétní stav poškození dané JE.
• Výpočty pro referenční JE musí vycházet z aktuálního modelu odezvy JE na těž-
kou havárii. Navíc výsledky referenční analýzy ba neměly být starší než několik let, neboť v posledních letech se znalosti týkající se rozvoje těžkých havárií vyví- její velice dynamicky.

Při práci s integrálními kódy pro analýzu TH je třeba mít na paměti, že místo jednotli- vých radioizotopů pracují s radioaktivními prvky a chemickými sloučeninami. Toto zjednodušení je nezbytné pro redukci stovek radioaktivních izotopů generovaných z paliva jaderného reaktoru na přijatelné množství skupin radioaktivních prvků, které již jsou současné integrální kódy schopny sledovat. V různých počítačových kódech jsou používány trochu odlišné skupiny prvků, nicméně tyto skupiny jsou vždy založeny na podobnosti svých fyzikálních a chemických vlastností. Příklad typické struktury skupin prvků užívané při analýze úniků radioaktivního materiálu ilustruje Tabulka 9.Radiační zdrojový člen je obvykle vyjádřen jako podíl uniklých radionuklidů vůči původnímu in- ventáři dané skupiny v AZ či v BS. Tabulka 9: Typická struktura skupin prvků v radioaktivním materiálu Skupina Prvky skupiny Reprezentant Vzácné plyny Xe, Kr Xe Halogeny I, Br I Alkalické kovy Cs, Rb Cs Kovy alkalických ze- min Ba, Sr Ba Chalkogeny Te, Sb, Se, As Te Přechodové kovy Ru, Mo, Pd, Tc, Rh Ru Lanthanoidy La, Y, Nd, Eu, Pm, Pr, Sm La Aktinoidy Ce, Pu, Np, Zr, U Ce

Schopnost transportu jednotlivých skupin radionuklidů do životního prostředí silně zá- visí na chemické formě, v níž se vyskytují po úniku z AZ či z BS. Řada prvků uvede- ných v Tabulce 9 může být transportována ve více než jedné formě. Rozdělení reaktiv- ních prvků inventáře AZ či BS mezi jejich možné chemické formy reprezentuje také je- den z parametrů nejistot, který je třeba uvažovat při vyhodnocování radiologických zdrojových členů.

Počítačové kódy užívané pro analýzu zdrojového členu musí být prověřeny (tj. musí pro jejich užití existovat pozitivní stanovisko SÚJB), aby bylo možné se s jistotou spoléhat na jimi prezentované výsledky. Prověření těchto integrálních kódů je však obtížnější než jiných kódů užívaných pro podporu PSA (termohydraulické kódy). To je dáno zejména omezeným využití existujících experimentálních výsledků na skutečné podmínky těžké havárie reaktoru, neboť není možné vždy provést experimenty odrážející extrémní pod- mínky, které se vyskytnou při těžké havárii v měřítku a přesné geometrii reaktoru a pri- márního okruhu.

Uživatelé integrálních kódů musí být zkušení v jejich používání a musí být dobře obe- známeni s modelovanými jevy, se způsobem, jakým spolu interagují, významem vstupní i výstupních dat a také s omezeními daného kódu.

Výsledky analýzy zdrojového členu a analýza nejistot

Celkové výsledky analýzy zdrojového členu je třeba jasně prezentovat a zdokumento- vat. Rovněž je třeba přehledně uvést frekvence a charakteristiky kategorií zdrojových členů. Jedním z možných způsobů je forma C matice popsaná v kapitole 3.5.4.5 Návo- du, kdy je pro každou kategorii úniku RaL uvedena její absolutní frekvence nebo podíl na CDF či FDF (C matice udává podmíněnou pravděpodobnost C (m, n), že nastane ka- tegorie úniku RaL „n“ za podmínek stavu poškození JE „m“.). Příklad možné prezenta- ce výsledků je ilustrován v Tabulce 10. Tabulka 10: Příklad výstupu analýzy radiologických zdrojových členů Atributy pro sdružování Uniklý podíl inventáře Způsob Katego- Čas za- Tlak I.O při Únik skrz Frekven- Mód selhání aktivního rie úniku čátku poškození přilehlé Xe I Cs další ce (a-1) kontejnmentu snížení RaL úniku TNR budovy úniku Prasknutí 1 i.iE-i Časný Nízký Ano Ne 0,95 0,11 0,08 x.xE-x trubky PG 2 j.jE-j Střední Vysoký Prasknutí Ne Ne 0,99 0,14 0,11 y.yE-y : : : : Normální X k.kE-k Střední Nízký Ano Sprchy 0,84 0,04 0,02 i.iE-i únik : : : : Y m.mE-m Pozdní Nízký Prasknutí Ne Sprchy 0,89 0,002 0,001 j.jE-j : : N

Zdrojové členy a frekvence kategorií úniků RaL musí být využity při určení frekvence velkých úniků a velkých časných úniků, které je následně možné porovnat s bezpečnostními kritérii (pokud jsou stanovena). To samozřejmě vyžaduje v rámci PSA 2.úrovně definovat pojmy „velký“ a „časný“. Jak je uvedeno v kapitole 3.3.6 Návodu, je to možné provést několika různými způsoby. Vyhláška č. 162/2017 Sb., o požadav- cích na hodnocení bezpečnosti podle atomového zákona, § 2, písm. g)[P6] definuje vel- ký časný únik jako únik více než 1 % počátečního množství 137Cs, které se nachází v jaderném zařízení, do 10 hodin od vyhlášení radiační havárie.

Alternativní způsob zobrazení výsledků analýzy zdrojových členů je pomocí doplňkové kumulativní distribuční funkce založené na frekvenci úniku větší než X, kde X vyjadřu- je spočtenou velikost úniku. Velikost úniku je zde možné definovat pomocí aktivity re- prezentativního izotopu.

Výstupy získané z takovéhoto kvantitativního ocenění úniku radionuklidů musí být shr- nuty a vysvětleny. Stejně taky je třeba prezentovat a vysvětlit výsledky citlivostní ana- lýzy a analýzy nejistot.

Kromě nejistot souvisejících s modelování průběhu těžké havárie, existuje mnoho ne- známých v chemických a fyzikálních procesech určujících úniky RaL z paliva, jejich usazování a zadržení uvnitř reaktoru, popřípadě jejich vymývání bezpečnostními sys- témy kontejnmentu.

Minulé i současné výzkumné programy učinily významný pokrok směrem ke snížení nejistot souvisejících se zdrojovým členem. Nejistoty související s fyzikálními procesy poškození AZ či paliva v BS a relokace taveniny vedou k nejistotám v hodnotách úniků RaL z paliva. Nejistoty spojené s odezvou kontejnmentu vedou k nejistotám určení klí- čových faktorů pro transport RaL do životního prostředí.

Uvedené nejistoty nejsou uvažovány v pravděpodobnostním hodnocení PSA 2. úrovně explicitně, nicméně významné zdroje nejistot ovlivňující výsledky PSA 2.úrovně je možné zohlednit provedením citlivostních analýz.

Dokumentace analýzy - prezentace výsledků

Podrobná zdůvodnění a popis analýz provedených pro účely PSA 2. úrovně musí být zdokumentovány logickým způsobem a musí obsahovat informace týkající se použitých metod, procesu PSA a získaných výsledků a závěrů, viz požadavky vyhlášky č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona, § 12 [P6]. Finální zpráva musí být sestavena způsobem umožňující snadnou revizi a poskytu- jící strukturované vstupy do podrobných podpůrných analýz.

Vyčerpávající obecný návod týkající se požadavků na dokumentaci PSA a její cíle, or- ganizaci a přípravu je uveden v předchozích částech tohoto Návodu, které se týkají PSA 1.úrovně, viz též [G6]. Tam uvedená doporučení jsou zcela rovnocenně aplikovatelná i na PSA 2.úrovně.

Cíle dokumentace

Dokumentace PSA 2. úrovně musí poskytovat dostatečné informace pro splnění cílů da- ného PSA a pro podporu potřeb uživatelů PSA 2.úrovně. Měla by také usnadnit její ná- sledné úpravy, aktualizace a změny vyžadované změnami konfigurace JE.

Možní uživatelé PSA 2. úrovně jsou:

• společnosti provozující JE (řídící a provozní personál),
• projektanti a dodavatelé,
• posuzovatelé,
• dozorné (správní) orgány, tj. v ČR SÚJB a organizace poskytující jim technickou
podporu,
• další správní subjekty,
• veřejnost.

Dokumentace musí být dobře strukturovaná, jasná, úplná a otevřená pro kontroly prová- děné čtenáři a recenzenty. Dále musí být dokumentace PSA snadno aktualizovatelná ve smyslu konceptu „živé PSA“. To také znamená možnost snadného rozšíření rozsahu otázek PSA a využití pro další aplikace. Hlavní předpoklady, výjimky, omezení a pro- středky musí být nedílnou součástí dokumentace PSA 2.úrovně a musí být explicitně uvedeny.

Závěry analýzy je vhodné v textu zprávy uvést odděleně ve speciální kapitole a musí od- rážet nejen hlavní obecné výsledky, ale také musí zdůraznit výsledky analýzy nejistot související s fenomenologií, použitými modely a databázemi a s podpůrnými analýzami. Vliv hlavních předpokladů, nejistot a konzervatismů v metodách a analýzách na výsled- ky PSA 2.úrovně musí být demonstrován pomocí výsledků citlivostní analýzy.

Pokud byla aplikována výběrová kritéria pro omezení počtu havarijních sekvencí s nízkou frekvencí výskytu (například ve výstupech z PSA 1.úrovně), pak musí být ve výstupech PSA 2.úrovně prezentován odhad příspěvku tohoto zanedbání.

Zpráva popisující PSA 2. úrovně musí jasně zdokumentovat hlavní doporučení a závěry, jako jsou například:

• nalezené projektové nebo provozní nedostatky,
• klíčové akce personálu JE pro zmírnění následků těžké havárie,
• potenciální výhody různých technických bezpečnostních systémů,
• oblasti možných zlepšení týkající se provozu nebo zařízení JE a zejména kontejn-
mentu

Pokud existují bezpečnostní kritéria pro PSA 2. úrovně, musí být v této fázi porovnána s výsledky provedeného PSA. Pravděpodobnostní bezpečnostní kritéria pro PSA 2. úrovně se značně liší mezi jednotlivými zeměmi (a jejich dozornými /správními/ orgá- ny), nicméně nejčastěji je sledována frekvence velkého časného úniku a maximální tole- rovatelná frekvence úniků různých velikostí.

Organizace dokumentace

Některé části dokumentace PSA 2. úrovně je možné koncipovat jako zaměřené výhrad- ně na použití v rámci organizace provozovatele dané JE, zatímco jiné části mohou být volně přístupné veřejnosti. Někteří uživatelé (včetně veřejnosti) mohou mít k dispozici pro efektivní využití například pouze souhrnnou zprávu, zatímco jiní budou potřebovat a měli by získat přístup ke kompletní dokumentaci včetně segmentů PSA modelu zpraco- vaných v prostředí příslušného počítačového kódu. Rozdělení informací do těchto úrov- ní musí provést PSA tým v koordinaci se zadavatelem PSA a provozovatelem JE.

Dokumentace PSA musí obsahovat všechny detailní informace, které jsou třeba pro kompletní pokrytí očekávaného (požadovaného) rozsahu PSA. Všechny analýzy, zdů- vodnění pravděpodobnostních odhadů a podpůrné výpočty musí být v maximální možné míře detailů zdokumentovány, a to buď jako přílohy k hlavní zprávě nebo jako interní zprávy. Vstupy a výstupy počítačových kódů, které nejsou součástí dokumentace, je tře- ba uchovat v přehledné formě.

Jak už bylo uvedeno na začátku této kapitoly, jsou obecná doporučení týkající se doku- mentace uvedena v předchozích částech tohoto Návodu, které se týkají PSA 1.úrovně, viz též [G6]. Tato doporučení jsou platná i pro případ PSA 2.úrovně. Dokumentace PSA 2.úrovně musí být rozdělena do 3 částí:

• souhrnná zpráva,
• hlavní zpráva,
• přílohy k hlavní zprávě.

Souhrnná zpráva musí být koncipována tak, aby poskytovala přehled cílů a motivace pro vývoj PSA, rozsahu, předpokladů, výsledků a hlavních závěrů PSA a možných do- padů na projekt JE, provoz a údržbu. Souhrnná zpráva je určena pro širší základnu ex- pertů na jadernou bezpečnost, radiační ochranu, monitorování radiační situace a zvládá- ní radiační mimořádné události a měla by být postačující pro revizi na vyšší úrovni ma- nagementu. Další obecné vlastnosti souhrnné zprávy jsou uvedeny v kapitole 3.4.1.5 Návodu, viz též [G6].

V souhrnné zprávě musí být také uveden obsah hlavní zprávy pro rychlé navedení čte- náře přímo do částí obsahující další podrobnosti k požadovanému tématu. Souhrnná zpráva by měla být připravena až po kompletním dokončení základní sestavy dokumen- tace PSA a v optimálním případě expertem, který má velmi dobrý přehled o celém PSA.

Hlavní zpráva PSA musí jasně a přehledně prezentovat celkové PSA včetně uvedení všech předpokladů, zdůvodnění a aspektů ovlivňujících výsledky PSA, které jsou speci- fické pro danou JE.

Využití a specifické aplikace PSA 2. úrovně

PSA je využívána v řadě zemí při projektování i provozu JE, aby doplnila výsledky zís- kané tradičními deterministickými metodami bezpečnostního hodnocení. Mnoho PSA aplikací využívá výsledky PSA 1.úrovně, viz kapitola 3.4.8 Návodu, též [G6], a čím dál častěji je pro co nejefektivnější využití těchto aplikací požadováno také zpřístupnění vý- sledků PSA 2.úrovně. Následující seznam obsahuje některé možné příklady použití vý- sledků PSA 2.úrovně:

• porovnání výsledků PSA 2. úrovně s pravděpodobnostními kritérii za účelem pro-
věření dostatečné úrovně bezpečnosti provozu JE,
• hodnocení projektu JE za účelem nalezení případných nedostatků týkajících se
zmírnění následků těžkých havárií,
• vývoj návodů pro zvládání těžkých havárií (SAMG) užívaných v případě poškoze-
ní AZ,
• analýza a hodnocení radiační mimořádné události,
• využití zdrojových členů a jejich frekvencí pro určení radiačních následků pro
okolí JE (PSA 3.úrovně),
• určení priorit pro výzkum v oblasti těžkých a radiačních havárií,
• využití řady dalších PSA aplikací v kombinaci s výsledky PSA 1. úrovně.

Cílem integrovaného rizikově informovaného rozhodování je zajistit, aby byl uplatněn vyvážený přístup při rozhodování o bezpečnostních otázkách; musí být uplatněn inte- grovaný přístup, který zajistí, že výstupy z PSA budou brány v úvahu společně s dalšími relevantními faktory [G11].

Při všech aplikacích PSA 2. úrovně, které jsou uvedeny níže, musí tedy být v procesu integrovaného rizikově informovaného rozhodování, které se uplatňuje při rozhodování o bezpečnostních otázkách týkajících se zvládání radiačních havárií, využity odpovída- jící výstupy z PSA 2.úrovně spolu se všemi dalšími relevantními faktory, kterými jsou:

• zahrnutí všech povinných požadavků týkajících se aplikací PSA,
• výstupy deterministických analýz,
• další použitelné výstupy a informace (analýza nákladů a výnosů, životnost JE, ná-
lezy z kontrol, provozní zkušenosti, …).

Rozsah a úroveň detailu PSA 2. úrovně pro aplikace

Rozsah a úroveň detailů PSA 2. úrovně musí být konzistentní s jeho zamýšleným použi- tím, jehož příklady jsou uvedeny dále. Například rozsah PSA, které je určeno pro výpo- čet frekvencí velkých úniků (LRF) a frekvencí velkých časných úniků (LERF) a které je pak využito pro získání informací o možných módech selhání kontejnmentu, se bude li- šit od rozsahu PSA, které má poskytnout vstupy pro analýzu a hodnocení radiační mi- mořádné události nebo pro potřeby PSA 3.úrovně. Při výpočtu LRF a LERF je třeba na- lézt pouze havarijní sekvence (a jejich frekvence), kde je únik označen jako „velký“, za- tímco pro účely provedení analýzy a hodnocení radiační mimořádné události nebo pro stanovení velikosti zón havarijního plánování, a také pro PSA 3.úrovně je třeba zdrojo- vé členy a jejich frekvence specifikovat přesněji. Stejně tak je třeba výrazně větší úro- veň detailu pro využití modelu PSA 2.úrovně v monitoru rizika.

Pokud se plánuje širší uplatnění PSA 2. úrovně, musí příslušný model vycházet z plnorozsahového PSA 1.úrovně, jak je vymezeno ve vyhlášce č. 162/2017 Sb., o po- žadavcích na hodnocení bezpečnosti podle atomového zákona, § 5, odst. 1, písm. a)a odst. 2 [P6]. V tomto případě musí PSA 1.úrovně:

• zahrnovat kompletní sadu interních IU, vnitřních a vnějších rizik a
• pokrývat všechny provozní režimy.
Obecně platí, že pokud je model PSA 2.úrovně založen na modelu PSA 1.úrovně omeze- ného rozsahu, je třeba tato omezení vzít v úvahu při aplikacích PSA 2.úrovně.

Využití PSA 2. úrov- ně pro hodnocení projektu

PSA 2. úrovně musí být použito pro provedení bezpečnostního hodnocení projektu JE. Cílem je získání informací o průběhu těžkých a radiačních havárií, identifikovat možné nedostatky a poskytnout vstupy pro uvážení možných projekčních vylepšení, která bu- dou zaměřena na prevenci a zvládání těžkých a radiačních havárií (například instalace rekombinátorů vodíku nebo filtračních ventilačních systémů).

Využití PSA 2. úrovně pro hodnocení projektu je velmi podobné jako v případě PSA 1. úrovně, které je popsané v kapitole 3.4.8 Návodu, odst. (3.519) – (3.541), viz též [G6]. Kromě výpočtů frekvencí LRF a LERF poskytují kódy užívané pro vývoj PSA 2.úrov- ně celou škálu dalších výsledků:

• frekvence všech kategorií úniků RaL,
• možné kombinace selhání (kritické řezy) přispívající k jednotlivým únikům,
• importanční míry systémů, komponent a dalších primárních událostí získané z mo-
delu PSA 2.úrovně.

Informace poskytované PSA 2. úrovně musí být využity pro identifikaci slabých míst prostředků zajišťujících ochranu před těžkými a radiačními haváriemi, popřípadě zmír- nění jejich průběhu a následků, což zahrnuje:

• významné poruchové módy primárního okruhu a kontejnmentu,
• dominantní jevy vedoucí k selhání kontejnmentu,
• systémy, konstrukce a komponenty s největším vlivem na LERF a LRF.

Uvažovaná vylepšení musí zahrnovat dodatečné ochranné systémy a prostředky pro zmírnění následků TH. To znamená buď začlenění takových dodatečných ochranných systémů a prostředků do nového projektu, nebo dodatečné vybavení existující JE.

Výsledky PSA 2. úrovně musí být také využity jako jeden ze zdrojů pro rozhodnutí, zda byla učiněna dostatečná opatření pro splnění konceptu ochrany do hloubky.

Když jsou zvažována nová vylepšení týkající se těžkých a radiačních havárií a jejich zvládání, je obvykle k dispozici několik možných návrhů realizace. PSA 2.úrovně může pomoci při porovnání jednotlivých návrhů.

PSA 2. úrovně musí být použita pro porovnání přínosů instalace dodatečných systémů a prostředků z hlediska snížení rizika.

Zvládání těžkých havárií

PSA 2. úrovně musí být použita jako základ pro hodnocení lokálních opatření a činností prováděných pro zmírnění vlivu TH. Cílem zmírňujících opatření a činností je zastavení rozvoje TH nebo zmírnění jejích následků. Toho lze dosáhnout zabráněním selhání TNR nebo kontejnmentu a řízením transportu a úniku radioaktivních látek s cílem minimali- zovat následky pro okolí JE. Příklady zmírňujících činností pro tlakovodní reaktory jsou:

• otevření odlehčovacích nebo pojistných ventilů kompenzátoru objemu - snížení
tlaku v I.O. a zabránění vypuzení taveniny z TNR pod velkým tlakem,
• dodání vody do kontejnmentu jakýmikoliv prostředky poté, co se tavenina dostala
ven z I.O. - umožnění alespoň chlazení taveniny mimo nádobu.

Výsledky PSA 2. úrovně musí být použity pro určení účinnosti opatření popsaných v návodech pro zvládání těžkých havárií (SAMG).

Při vývoji PSA 2. úrovně je třeba si uvědomit, že jevy, které se při TH uplatňují, spolu silně souvisejí a havarijní opatření zaměřené na zmírnění jednoho jevu může zvýšit pravděpodobnost výskytu jevu jiného, například:

• Odtlakování I.O. může sice zabránit vysokotlakému vypuzení taveniny, ale naopak
může zvýšit pravděpodobnost parní exploze uvnitř TNR.
• Obdobně dodávka vody do kontejnmentu v pozdní fázi těžké havárie sice poskytne
chladící médium pro roztavené trosky, ale opět zvýší pravděpodobnost parního výbuchu, tentokrát mimo TNR.
• Provoz sprchového systému může zajistit odvod tepla a radioaktivního materiálu
z atmosféry kontejnmentu, ale může vlivem kondenzace páry zvýšit hořlavost at- mosféry kontejnmentu. Tyto interakce je třeba vzít v úvahu jak při vývoji PSA 2.úrovně, tak při následné optima- lizaci návodů SAMG.

Zvládání radiační mimořádné události a následky pro okolí

Výsledky PSA 2. úrovně se využívají v oblasti zvládání radiační mimořádné události. Touto problematikou se podrobně zabývá vyhláška č. 359/2016 Sb., o podrobnostech k zajištění zvládání radiační mimořádné události [P10], konkrétně § 3 Pravidla k provádě- ní analýzy a hodnocení radiační mimořádné události, § 4 Požadavky na stanovení zóny havarijního plánování a dále dvě přílohy této vyhlášky, příloha č. 1 Požadavky na obsah analýzy a hodnocení radiační mimořádné události a příloha č. 2 Požadavky na obsah stanovení zóny havarijního plánování.

Pro věcně správné určení v úvahu připadajících radiačních mimořádných událostí ve vnitřním havarijním plánu je nezbytně nutné provést rozvahu ohledně možnosti rozvinu- tí požárů v radiační mimořádnou událost.

Zdrojové členy a frekvence odvozené v PSA 2. úrovně lze též využít jako startovací bod pro PSA 3.úrovně hodnotící kvantitativně následky radiačních havárií pro okolí JE. V takovém případě by PSA 2.úrovně měla obsahovat detailní model transportu radioak- tivního materiálu uvnitř kontejnmentu a model úniků mimo JE.

Další PSA aplikace

PSA 2. úrovně modeluje komplikované a vysoce propojené jevy, k nimž dochází po těžké havárii. Ačkoliv v dané oblasti byla provedena řada výzkumů, stále v některých oblastech existuje mnoho neznámých vedoucích k poměrně velkým nejistotám v predikcích PSA 2.úrovně.

PSA 2. úrovně lze proto využívat i jako základ při definování priorit budoucích výzku- mů. Tyto výzkumné aktivity by se měly zaměřit zejména na oblasti nejistot s velkým ri- zikovým významem.

PSA 2. úrovně musí být využívána společně s výsledky PSA 1. úrovně pro řadu aplikací uvedených výše v kapitole 3.4.8 Návodu, viz též [G6]. Společné využití PSA 1.úrovně a PSA 2.úrovně poskytne dodatečné informace a pochopení souvislostí a jevů, neboť relativní důležitost struktur, systémů a komponent je jiná z hlediska výsledků PSA 2. úrovně (LRF, LERF) a jiná z hlediska výsledků PSA 1.úrovně (CDF, FDF). 4.LITERATURA

LEGISLATIVA, DOKUMENTY SÚJB [P1] Směrnice Rady 2009/71/Euratom ze dne 25.června 2009, kterou se stanoví rámec Společenství pro jadernou bezpečnost jaderných zařízení, 32009L0071 [P2] Směrnice Rady 2011/70/Euratom ze dne 19.července 2011, kterou se stanoví rámec Společenství pro odpovědné a bezpečné nakládání s vyhořelým palivem a radioaktiv- ním odpadem, 32011L0070 [P3] Směrnice Rady 2014/87/Euratom ze dne 8.července 2014, kterou se mění směrnice 2009/71/Euratom, kterou se stanoví rámec Společenství pro jadernou bezpečnost ja- derných zařízení, 32014L0087 [P4] Úmluva o jaderné bezpečnosti (INCIFIR/449, 5.7.1994, sdělení MZV č. 67/1998 Sb.) [P5] Zákon č. 263/2016 Sb., atomový zákon [P6] Vyhláška č. 162/2017 Sb., o požadavcích na hodnocení bezpečnosti podle atomového zákona [P7] Vyhláška č. 408/2016 Sb., o požadavcích na systém řízení [P8] Vyhláška č. 378/2016 Sb., o umístění jaderného zařízení [P9] Vyhláška č. 329/2017 Sb., o požadavcích na projekt jaderného zařízení [P10] Vyhláška č. 359/2016 Sb., o podrobnostech k zajištění zvládání radiační mimořádné události [P11] BN-JB-2.6(Rev.0.0): Využití PSA v rizikově orientovaném rozhodování při hodnoce- ní změn konfigurace zařízení JE [P12] BN-JB-2.7(Rev.0.0): Využití PSA v rizikově orientovaném rozhodování při hodnoce- ní trvalých i dočasných změn LaP a hodnocení adekvátnosti LaP

MEZINÁRODNÍ DOKUMENTY [G1] Safety Reference Levels for Existing Reactors, Update in Relation to Lessons Learned from TEPCO Fukushima Dai-ichi Accident, WENRA, 24th September 2014 [G2] Fundamental Safety Principles. Safety Fundamentals. IAEA Safety Standard Series No. SF-1, IAEA, Vienna, 2006. [G3] Safety Assessment for Facilities and Activities. General Safety Requirements. IAEA Safety Standard Series No. GSR Part 4 (Rev. 1), IAEA, Vienna, 2016. [G4] Leadership and Management for Safety. General Safety Requirements. IAEA Safety Standards Series No. GSR Part 2, IAEA, Vienna, 2016 [G5] Safety of Nuclear Power Plants: Design. Specific Safety Requirements. IAEA Safety Standard Series No. SSR-2/1 (Rev. 1), IAEA, Vienna, 2016. [G6] Development and Application of Level 1 Probabilistic Safety Assessment for Nuclear Power Plants. Specific Safety Guide. IAEA Safety Standards Series No. SSG-3, IAEA, Vienna, 2010. [G7] Development and Application of Level 2 Probabilistic Safety Assessment for Nuclear Power Plants. Specific Safety Guide. IAEA Safety Standards Series No. SSG-4, IAEA, Vienna, 2010. [G8] Basic Safety Principles for Nuclear Power Plants. 75-INSAG-3 Rev. 1, INSAG-12. IAEA, Vienna, October 1999. [G9] Periodic Safety Review for Nuclear Power Plants. Specific Safety Guide. IAEA Safety Standard Series No. SSG-25.IAEA, Vienna, 2013. [G10] Living Probabilistic Safety Assessment (LPSA), IAEA-TECDOC-1106.IAEA, Vien- na, August 1999. [G11] Applications of probabilistic safety assessment (PSA) for nuclear power plants. IAEA- TECDOC-1200.IAEA, Vienna, February 2001. [G12] A Framework for an Integrated Risk Informed Decision-Making Process. INSAG-25. IAEA, Vienna, 2011 [G13] Risk Management: A Tool for Improving Nuclear Power Plant Performance. IAEA- TECDOC-1209.IAEA, Vienna, April 2001. [G14] External Events Excluding Earthquakes in the Design of Nuclear Power Plants. IAEA Safety Standards Series No. NS-G-1.5.IAEA, IAEA, Vienna, 2003. [G15] Protection against Internal Fires and Explosions in the Design of Nuclear Power Plants. IAEA Safety Standards Series No. NS-G-1.7.IAEA, Vienna, 2004. [G16] Protection against Internal Hazards other than Fires and Explosions in the Design of Nuclear Power Plants. IAEA Safety Standards Series No. NS-G-1.11.IAEA, Vienna, 2004. [G17] Fire Safety in the Operation of Nuclear Power Plants. IAEA Safety Standards Series No. NS-G-2.1.IAEA, Vienna 2000. [G18] Evaluation of Seismic Safety for Existing Nuclear Installations. IAEA Safety Stan- dards Series No. NS-G-2.13.IAEA, Vienna, 2009. [G19] Risk Monitors: The State of the Art in their Development and Use at Nuclear Power Plants. WGRisk, NEA/CSNI/R(2004)20, OECD, Paris, 2004. [G20] EPRI TR – 112657 „Revised Risk-Informed Inservice Inspection Evaluation Procedu- re“, Final Report, Rev. B, July 1999. [G21] EPRI TR-1006937 Extension of the EPRI Risk-Informed Inservice Inspection (RI-ISI) Methodology to Break Exclusion Region (BER) Programs. Final Report, Rev. 0-A, August 2002. [G22] Westinghouse Owners Group Application of Risk-Informed Methods to Piping Inser- vice Inspection Topical Report, WCAP-14572, Revision 1-NP-A, WEC, 1999. [G23] Swain A.D., Guttman H.: „Handbook of Human Reliability Analysis with Emphasis on Nuclear Power Plant Applications“, NUREG/CR-1278, 1983. [G24] Hannaman G.W., Spurgin A.J.: "Systematic Human Action Reliability Procedure (SHARP)“, EPRI-NP-3583, Electric Power Research Institute, Palo Alto, 1984. [G25] Technical Basis and Implementation Guidelines for a Technique for Human Event Analysis (ATHEANA), NUREG-1624, Rev. 1, 2000. [G26] NUREG/CR-6350, 1996. [G27] Forester J., Kolaczkowski A., Cooper S., Bley D., Lois E.: ATHEANA User’s Guide Final Report, NUREG-1880, NRC, 2007. [G28] Hollnagel E.: Cognitive Reliability and Error Analysis Method (CREAM), Elsevier, 1998. [G29] Edmunds, J.; Kennedy, R. J.; Kirwan, B.; Gibson, W. H.: A User Manual for the Nuclear Action Reliability Assessment (NARA) Human Error Quantification Tech- nique. Barnwood, Gloucester GL4 3RS : EDF Energy Nuclear Generation Ltd., 2011. CRA-BEGL-POW-J032-R2. [G30] Edmunds, J.; Kennedy, R. J.; Kirwan, B.; Gibson, W. H.: Technical Basis for NARA, A Method of Human Error Quantification. Barnwood, Gloucester GL4 3RS : EDF Energy Nuclear Generation Ltd., 2011.CRA-BEGL-POW-J032-R1. [G31] THEOFANOUS, T., YAN, H., ROAAM: A risk-oriented accident analysis methodo- logy, Probabilistic Safety Assessment and Management (Proc. Int. Conf. Beverly Hills, 1991), Elsevier Science, New York (1991) 1179. [G32] PILCH, M.M., YAN, H., THEOFANOUS, T.G., The Probability of Containment Failure by Direct Containment Heating in Zion, Rep. NUREG/CR-6075, Suppl. 1, Sandia Natl Labs, NM (1994). [G33] REMPE, J.L., et al., Light Water Reactor Lower Head Failure Analysis, Rep. NUREG/CR-5642, Idaho Natl Eng. Lab., ID (1993). [G34] CHU, T.Y., et al., Lower Head Failure Experiments and Analyses, Rep. NUREG/CR- 5582, Sandia Natl Labs, NM (1998). [G35] BREITUNG, W., et al., Flame Acceleration and Deflagration-to-Detonation Transition in Nuclear Safety, State-of-the-Art Report by a Group of Experts, Rep. NEA/CSNI/R(2000)7, OECD, Paris (2000). [G36] DOE Standard DOE-STD-3014-96, Accident Analysis for Aircraft Crash into Ha- zardous Facilities, U.S. Department of Energy, Washington, DC, October 1996 [G37] American Society of Mechanical Engineers, Addenda to ASME/ANS RA-S-2008 Standard for Level 1 / LERF PRA for Nuclear Power Plant Applications: An Ameri- can National Standard, ASME/ANS RA-Sa-2009, ASME, New York (2009). [G38] American Society of Mechanical Engineers, Standard for Probabilistic Risk Assess- ment for Nuclear Power Plant Applications, ASME RA-S-2002, ASME, New York (2002). [G39] American Society of Mechanical Engineers and American Nuclear Society, Standard for Level 1/Large Early Release Frequency Probabilistic Risk Assessment for Nuclear Power Plant Applications, Addendum B, ASME/ANS RA-Sb-2013, New York (2013). [G40] American Society of Mechanical Engineers and American Nuclear Society, Severe Accident Progression and Radiological Release (Level 2) PRA Standard for Nuclear Power Plant Applications for Light Water Reactors (LWRs), ASME/ANS RA-S-1.2- 2015 (Trial Use), New York (2015). [G41] European Utility Requirements for LWR Nuclear Power Plants, Volume 2, Revision C. EUR, April 2001. [G42] Comparison of EUR Chapter 2.17 Revision C with SSG-4, Revision A, Draft 01. EUR, December 2011. [G43] Attributes of Full Scope Level 1 Probabilistic Safety Assessment (PSA) for Applica- tions in Nuclear Power Plants. IAEA-TECDOC-1804.IAEA, Vienna, 2016. [G44] IAEA, Safety Series No. 50-P-7, Treatment of External Hazards in Probabilistic Safety Assessment for Nuclear Power Plants, 1995 [G45] Site Evaluation for Nuclear Installations, Safety Standards Series No. NS-R-3 (Rev. 1), IAEA. Vienna 2016 [G46] Seismic Hazards in Site Evaluation for Nuclear Installations, Specific Safety Guide No. SSG-9, IAEA. Vienna 2010 [G47] Meteorological and hydrological hazards in site evaluation for nuclear installations. Specific Safety Guide, Safety Standards Series No. SSG-18.IAEA. Vienna 2011. [G48] Site survey and site selection for nuclear installations. Specific Safety Guide, Safety Standards Series No. SSG-35.IAEA. Vienna 2015. PŘÍLOHY Příloha 1: Příklad obsahu dokumentace PSA 2.úrovně S. Souhrnná zpráva

Úvod

Přehled cílů PSA

Fire hazard analysis

Výsledky módů selhání kontejnmentu a jejich pravděpodobností

Radiační zdrojové členy a jejich frekvence

Přehled nedostatků JE z hlediska těžkých a radiačních havárií, interpretace výsled- ků

Závěry a doporučení

Možná opatření na snížení rizika

Struktura hlavní zprávy M. Hlavní zpráva

Úvod

Úvod do problematiky

Cíle

Rozsah PSA

Organizace a řízení projektu

Složení týmu

Popis přístupu

Struktura zprávy

Popis projektu JE a kontejnmentu

Projektové prostředky JE a kontejnmentu ovlivňující těžké A radiační havárie

Provozní charakteristiky

Popis modifikací JE a systémů kontejnmentu

Interface pro PSA 1. Úrovně

Seskupení havarijních sekvencí a specifikace atributů

Stavy poškození JE pro interní IU a jejich nejistoty

Stavy poškození JE pro vnější iniciační události a jejich nejistoty

Stavy poškození JE pro jiné výkonové stavy a jejich nejistoty

Strukturální analýza chování kontejnmentu

Popis projektu konstrukce a poruchové módy kontejnmentu

Přístup ke strukturální analýze

Odezva konstrukce a výsledky pevnostní analýzy

Souhrn nejistot a křivek pevnosti chování kontejnmentu

Vliv vnějších událostí

Rozvoj těžké havárie a analýza kontejnmentu

.3 Souhrn bodových výsledků pro analyzované stavy poškození

.6.3 Interpretace výsledků

Zdrojové členy

Seskupení radioaktivních materiálů

Metoda analýzy (kódy, modely, atd.)

Souhrn bodových výsledků pro analyzované stavy poškození JE

Zpracování nejistot

.3 Interpretace výsledků

Analýzy citlivosti a importančních měr

Identifikace problémů citlivostních analýz

Výsledky citlivostní analýzy

Ocenění systémů a komponent importančními mírami

Závěry

Klíčové body charakteristik těžkých a radiačních havárií a odezvy kon- tejnmentu

Projektové prostředky a jejich přínos při zmírnění následků TH

Závěry týkající se cílů PSA A Přílohy

Pevnostní analýza kontejnmentu

Kvantifikace stromu událostí kontejnmentu

Výsledky deterministických analýz těžkých havárií

Zatížení kontejnmentu

Zdrojové členy

Pravděpodobnostní rozložení a rozsah parametrů analýzy nejistot

Detailní výsledky analýzy nejistot a citlivostní analýzy Příloha 2: Srovnání s referenčními úrovněmi WENRA WENRA Safety Reference Dokument – Část dokumentu Levels for Existing Reactors, Česká republika Issue O - Probabilistic Safety Analysis (PSA)

Scope and content of PSA

For each plant design, a specific Zákon č. 263/2016 § 48 Hodnocení bezpečnosti, PSA shall be developed for level 1 and le- Sb., atomový zákon odst. 2, písm. b) vel 2, considering all relevant 58 operatio- § 5, odst. 5, písm. b) nal states, covering fuel in the core and in the spent fuel storage and all relevant in- ternal and external initiating events. Ex- ternal hazards shall be included in the PSA for level 1 and level 2 as far as practicable, taking into account the current state of science and technology. If not practicable, other justified methodologies shall be used to evaluate the contribution of external hazards to the overall risk pro- file of the plant. 58 Relevant means that the considered initiating event (or operational state) is relevant for the risk as determined with the PSA. Adequate screening criteria shall be defi n ed in order to identify the relevant initiating events and operati- onal states. Vyhláška č. § 5, odst. 1 a 2 162/2017 Sb., o po- § 6, odst. 1, písm. a)a d) žadavcích na hodno- § 3, odst. 2 a 3 cení bezpečnosti § 9, odst. 1, 2 a 3 podle atomového zá- kona Vyhláška č. § 25, odst. 3 329/2017 Sb., o po- žadavcích na projekt jaderného zařízení Pravděpodobnostní Rozsah PSA, kapitola 3.3.3 hodnocení bezpeč- Program „živé PSA“, nosti (3.136), (3.191), (3.204), ka- pitola 3.4.4.5 Roztřídění vnitřních a vnějších rizik,

, (3.243), (3.248) -

, (3.254) - (3.255),

, (3.297) - (3.302),

, (3.428), (3.432),

, (3.451), (3.453),

, (3.492), (3.492),

, (3.528), (3.596) –

, (3.514), (3.527),

, 3.630), (3.636) -

, (3.641), (3.658),

, (3.692), (3.708) -

, (3.717), (3.725), ka- pitola 3.5.7.1 Rozsah a úro- veň detailu PSA 2.úrovně pro aplikace, k problematice specifičnosti PSA viz odkazy v řádku vě- nujícímu se zahrnutí O1.4

PSA shall include relevant depen- Vyhláška č. § 6, odst. 1, písm. m) a odst. dencies. 59 162/2017 Sb., o po- 2 žadavcích na hodno- 59 Such as functional dependencies, area dependencies (based on the physical cení bezpečnosti location of the components, systems and structures) and other common caus e failures. Site aspects and interaction with other units could also be relevant. podle atomového zá- kona Pravděpodobnostní (3.108), (3.114), (3.120) - hodnocení bezpeč- (3.121), (3.125), (3.126), nosti (3.133), (3.136), (3.138), ka- pitola 3.4.3.5 Analýza závis- lostí, kapitola 3.4.3.6 Poru- chy se společnou příčinou,

, (3.194), (3.203),

, (3.214), (3.217),

, (3.281), (3.290),

, (3.274) - (3.275),

, (3.305), (3.321),

, (3.338), (3.341) -

, (3.359), (3.362),

, (3.390), (3.409),

, (3.428) - (3.429),

, (3.664)

The Level 1 PSA shall contain sen- Vyhláška č. § 8, odst. 1 sitivity and uncertainty analyses. The Le- 162/2017 Sb., o po- vel 2 PSA shall contain sensitivity analy- žadavcích na hodno- ses and, as appropriate, uncertainty analy- cení bezpečnosti ses. podle atomového zá- kona Pravděpodobnostní (3.40), (3.75), (3.77 - 78), hodnocení bezpeč- (3.130), (3.168), (3.171), nosti (3.176), kapitola 3.4.3.10 Analýza neurčitostí a citli- vostní analýzy, (3.208),

, (3.309), (3.364), (3.366 - 367), (3.371),

, (3.387), (3.396),

, (3.409), (3.421),

, (3.504 – 3.505),

, (3.509), (3.516),

, (3.530), (3.538),

, (3.552), (3.607),

, (3.606) - (3.607),

, (3.619), (3.636),

, (3.648), (3.656),

, kapitola 3.5.4.4 Analýza nejistot, (3.687),

, (3.709), (3.715) –

, (3.724), (3.752 –

)

PSA shall be based on a realistic Vyhláška č. § 5, odst. 3 modelling of plant response, using data re- 162/2017 Sb., o po- § 6, odst. 1, písm. a), b)a l) levant for the design, and taking into ac- žadavcích na hodno- § 9, odst. 1, 2 a 3 count human action to the extent assumed cení bezpečnosti in operating and accident procedures. The podle atomového zá- mission times in the PSA shall be justifi- kona ed. Pravděpodobnostní (3.30), (3.46), (3.72), (3.75), hodnocení bezpeč- (3.85), (3.100), (3.104), nosti (3.143), (3.162), (3.164),

, (3.172), (3.177),

, (3.197), (3.201) -

, (3.205), (3.213),

, (3.220), (3.226) -

, (3.238) - (3.239),

, (3.270), (3.282),

, (3.289) - (3.290),

, (3.310), (3.315),

, (3.326), (3.333),

, (3.363) - (3.364),

, (3.375), (3.377),

, (3.391) - (3.393),

, (3.397), (3.400) -

, (3.404), (3.414),

, (3.442), (3.447),

, (3.499), (3.516) -

, (3.524), (3.527),

, (3.623) - (3.624),

, (3.706), (3.733) , k problematice lidského faktoru viz odkazy v násle- dujícím řádku (O1.5)

Human reliability analysis shall be Vyhláška č. § 6, odst. 1, písm. l) performed, taking into account the factors 162/2017 Sb., o po- which can influence the performance of žadavcích na hodno- plant staff in all plant states. cení bezpečnosti podle atomového zá- kona Pravděpodobnostní (3.79), (3.102), (3.106), hodnocení bezpeč- (3.108) – (3.109), (3.113), nosti (3.130), (3.136), (3.138), ka- pitola 3.4.3.7 Analýza lid- ského faktoru, (3.161),

, (3.176), (3.182),

, (3.200), (3.204),

, (3.220), (3.230),

, (3.239), (3.244),

, (3.257) - (3.258),

, (3.268), (3.280),

, (3.290), (3.298) –

, (3.303), (3.306),

, (3.327), (3.328),

, (3.342) - (3.343),

, (3.356) - (3.359),

, (3.407), (3.410),

, (3.417) – (3.418),

, (3.452), (3.454),

, (3.468), (3.474), ka- pitola 3.4.7.7 Analýza lid- ského faktoru, (3.490),

, (3.510), (3.536),

, (3.619), (3.664)

Quality of PSA

PSA shall be performed, documen- Zákon č. 263/2016 § 29, odst. 3, písm. a), b), g) ted, and maintained according to require- Sb., atomový zákon ments of the management system of the licensee. Vyhláška č. § 3, odst. 3, 4, 5 408/2016 Sb., o po- § 4, žadavcích na systém § 5, odst. 4, 5, 6 řízení Pravděpodobnostní hodnocení bezpeč- nosti

PSA shall be performed according to Zákon č. 263/2016 § 5, odst. 5, písm. b) an up to date proven methodology, taking Sb., atomový zákon into account international experience currently available. Vyhláška č. § 3, odst. 1 162/2017 Sb., o po- § 9, odst. 3, písm. b) žadavcích na hodno- cení bezpečnosti podle atomového zá- kona Pravděpodobnostní hodnocení bezpeč- nosti

Use of PSA

PSA shall be used to support safety Vyhláška č. § 10, odst. 1 a 7 management. The role of PSA in the deci- 162/2017 Sb., o po- sion making process shall be defined. žadavcích na hodno- cení bezpečnosti podle atomového zá- kona Pravděpodobnostní 3.3.4 Využití PSA při inte- hodnocení bezpeč- grovaném rizikově informo- nosti vaném rozhodování, (3.38),

, (3.444), (3.509), ka- pitola 3.4.8.2 Integrovaný ri- zikově informovaný rozho- dovací proces, (3.520),

, (3.611), (3.750)

, (3.606), (3.735) –

PSA shall be used 60 to identify the Vyhláška č. § 10, odst. 1, 2, 3 a odst. 6, need for modifications to the plant and its 162/2017 Sb., o po- písm. a), b)a c) procedures, including for severe accident žadavcích na hodno- management measures, in order to reduce cení bezpečnosti the risk from the plant. podle atomového zá- kona 60 It is intended that such analyses will be done on a co ntinuous basis, not just every ten years during the Periodic Safety Review. Pravděpodobnostní PSA při integrovaném rizi- hodnocení bezpeč- kově informovaném rozho- nosti dování, kapitola 3.4.8.2 In- tegrovaný rizikově informo- vaný rozhodovací proces, kapitola 3.4.8.3 Hodnocení projektu pomocí PSA, kapi- tola 3.4.8.4 Rizikově infor- mované LaP, kapitola

PSA shall be used to assess the ove- Vyhláška č. § 10, odst. 4 a 5 rall risk from the plant, to demonstrate 162/2017 Sb., o po- that a balanced design has been achieved, žadavcích na hodno- and to provide confidence that there are cení bezpečnosti no "cliff-edge effects". podle atomového zá- kona Vyhláška č. § 25, odst. 3 329/2017 Sb., o po- žadavcích na projekt jaderného zařízení Pravděpodobnostní PSA při integrovaném rizi- hodnocení bezpeč- kově informovaném rozho- nosti dování, kapitola 3.4.8.2 In- tegrovaný rizikově informo- vaný rozhodovací proces,

, (3.523), (3.532)

PSA shall be used to assess the Vyhláška č. § 10, odst. 6 adequacy of plant modifications, changes 162/2017 Sb., o po- to operational limits and conditions and žadavcích na hodno- procedures and to assess the significance cení bezpečnosti of operational occurrences. podle atomového zá- kona Pravděpodobnostní PSA při integrovaném rizi- hodnocení bezpeč- kově informovaném rozho- nosti dování, kapitola 3.4.8.2 In- tegrovaný rizikově informo- vaný rozhodovací proces, kapitola 3.4.8.3 Hodnocení projektu pomocí PSA, kapi- tola 3.4.8.4 Rizikově infor- mované LaP, kapitola

Insights from PSA shall be used as Vyhláška č. § 11, odst. 5 input to development and validation of the 162/2017 Sb., o po- safety significant training programmes of žadavcích na hodno- the licensee, including simulator training cení bezpečnosti of control room operators. podle atomového zá- kona Pravděpodobnostní PSA při integrovaném rizi- hodnocení bezpeč- kově informovaném rozho- nosti dování, kapitola 3.4.8.2 In- tegrovaný rizikově informo- vaný rozhodovací proces, kapitola 3.4.8.11 Využití PSA pro výcvikové progra- my držitele povolení

The results of PSA shall be used to Vyhláška č. § 11, odst. 2, 3 a 4 ensure that the items are included in the 162/2017 Sb., o po- verification and test programmes if they žadavcích na hodno- contribute significantly to risk. cení bezpečnosti podle atomového zá- kona Pravděpodobnostní PSA při integrovaném rizi- hodnocení bezpeč- kově informovaném rozho- nosti dování, kapitola 3.4.8.2 In- tegrovaný rizikově informo- vaný rozhodovací proces, kapitola 3.4.8.4 Rizikově in- formované LaP, kapitola

Demands and conditions on the use of PSA

The limitations of PSA shall be un- Vyhláška č. § 11, odst. 6 derstood, recognized and taken into ac- 162/2017 Sb., o po- count in all its use. The adequacy of a par- žadavcích na hodno- ticular PSA application shall always be cení bezpečnosti checked with respect to these limitations. podle atomového zá- kona Pravděpodobnostní PSA, (3.60), (3.175), hodnocení bezpeč- (3.180), (3.513), (3.516), nosti (3.540) - (3.541), (3.564),

, (3.600), (3.608),

, (3.711), (3.723),

When PSA is used, for evaluating or Vyhláška č. § 8, odst. 4 changing the requirements on periodic tes- 162/2017 Sb., o po- ting and allowed outage time for a system žadavcích na hodno- or a component, all relevant items, inclu- cení bezpečnosti ding states of systems and components podle atomového zá- and safety functions they participate in, kona shall be included in the analysis.

The operability of components that Vyhláška č. § 11, odst. 4 have been found by PSA to be important 162/2017 Sb., o po- to safety shall be ensured and their role žadavcích na hodno- shall be recorded in the SAR. cení bezpečnosti podle atomového zá- kona Pravděpodobnostní hodnocení bezpeč- nosti Issue F - Design Extension of Existing Reactors

Safety analysis of design extension conditions

The DEC analysis shall: Vyhláška č. § 28, odst. 2, písm. e) (g)reflect insights from PSA level 1 and 2 329/2017 Sb., o po- žadavcích na projekt jaderného zařízení Pravděpodobnostní kapitola 3.3.4 Využití PSA hodnocení bezpeč- při integrovaném rizikově nosti informovaném rozhodování, kapitola 3.4.8.2 Integrovaný rizikově informovaný roz- hodovací proces, kapitola

The fire hazard analysis shall be Vyhláška č. § 5, odst. 2, písm. c) complemented by probabilistic fire analy- 162/2017 Sb., o po- sis. In PSA level 1, the fires shall be as- žadavcích na hodno- sessed in order to evaluate the fire pro- cení bezpečnosti tection arrangements and to identify risks podle atomového zá- caused by fires. kona Vyhláška č. § 23, odst. 3 329/2017 Sb., o po- žadavcích na projekt jaderného zařízení Pravděpodobnostní todické aspekty PSA 1. hodnocení bezpeč- úrovně pro plošně působící nosti vnitřní a vnější IU (vnitřní a vnější rizika), kapitola 3.4.5 Specifika PSA 1.úrovně pro vnitřní rizika – její podkapi- toly 3.4.5.1 Úvod, 3.4.5.2 Hraniční analýzy a podrobné analýzy PSA 1.úrovně pro vnitřní rizika, 3.4.5.3 Analý- zy vnitřních požárů, (3.308),

, (3.324) - (3.325),

, (3.342), (3.357),

, (3.418) - (3.419),