Důvodem pro vydání tohoto bezpečnostního návodu DETERMINISTICKÉ BEZPEČNOSTNÍ ANALÝZY POSTULOVANÝCH INICIAČNÍCH UDÁLOSTÍ A SCÉNÁŘŮ DEC B je požadavek na stanovení pravidel pro hodnocení jaderné bezpečnosti a radiační ochrany projektu jaderného zařízení pro případ postulovaných iniciačních událostí a scénářů DEC B (těžkých havárií), který vychází z mezinárodních doporučení WENRA, IAEA a nejvýznamnějších evropských provozovatelů JE. Tyto požadavky jsou v legislativě ČR konkretizovány zejména ve vyhlášce č. 329/2017 Sb., o požadavcích na projekt jaderného zařízení [2].

Konkrétním cílem tohoto dokumentu je poskytnout doporučení pro zpracování deterministických bezpečnostních analýz postulovaných iniciačních událostí a scénářů DEC B, tedy těžkých havárií. Zmíněné analýzy jsou předkládány zejména držitelem povolení v PrBZ nebo jiných dokumentech jako součást průkazu bezpečnosti jaderného zařízení a dále mohou být využívány jako podkladové analýzy pro tvorbu a zdůvodnění SAMG nebo PSA. Tento návod se nevztahuje na analýzy kvalifikace SKK na prostředí v podmínkách těžkých havárií.

Bezpečnostní návod je zejména určen projektantovi nebo provozovateli jaderného zařízení s jaderným reaktorem o výkonu větším než 50 MW (tepelných) včetně bazénu skladování ozářeného paliva a jeho subdodavatelům v oblasti provádění bezpečnostních analýz. Dodržení doporučení tohoto návodu má zajistit, že bezpečnostní analýzy v dané oblasti budou v souladu s požadavky zákona č. 263/2016 Sb., atomový zákon [1], jeho prováděcích právních předpisů, požadavky směrnice 2009/71/Euratom ve znění novely 2014/87/Euratom [7] a budou odrážet současnou světovou praxi (v době vydání návodu) a současná mezinárodní doporučení v oboru respektovaných mezinárodních organizací (zejména IAEA [10], WENRA [9]) a evropských provozovatelů JE.

Tento návod je zaměřen na JZ s tlakovodním jaderným reaktorem, a to jak na zařízení, která jsou v době vydání návodu již v provozu, tak i na nová jaderná zařízení (viz dále „nový jaderný reaktor“). V dokumentu je záměrně u požadavků, jejichž plnění se pokládá za nutné a odpovídá závazným požadavkům právních předpisů, použit jednoduchý tvar přítomného nebo budoucího času (např. „je“, „bude“), čímž je popisován požadovaný stav. Pokud je v dokumentu použita vazba „musí být“ (případně s plnovýznamovým slovesem), jedná se o akcentování požadavku, opakování textu legislativy nebo je k tomu přistoupeno z důvodu srozumitelnosti textu. Pokud je v dokumentu použita vazba „měl by být“ nebo „může být“ (případně s plnovýznamovým slovesem), je popisováno doporučené, ale nikoli jediné vhodné řešení. V celém dokumentu jsou používány z důvodů zavedené praxe zkratky anglických odborných termínů v jednotném čísle. V některých případech je užitím zkratky v jednotném čísle zamýšleno množné číslo vzhledem ke skutečnosti, že význam je jasný z kontextu textu v českém jazyce.

Základním dokumentem, který definuje požadavky na jadernou bezpečnost zajišťovanou provozovatelem JZ je zákon č. 263/2016 Sb., atomový zákon [1]. Dalším hlavním zdrojem pro tento bezpečnostní návod je vyhláška č. 329/2017 Sb., o požadavcích na projekt jaderného zařízení [2]. Detailní požadavky na deterministické bezpečnostní analýzy DEC B, ze kterých primárně čerpá tento bezpečnostní návod, jsou zpracovány zejména v dokumentech WENRA Safety Reference Levels for Existing Reactors 2014 [9], IAEA SSR- 2/1 (Rev.1) [10], IAEA-TECDOC-1791 [12], WENRA: Guidance Document Issue F [16], SSG-2 Rev. 1 [14], ale i dalších viz reference. 2 BEZPEČNOSTNÍ CÍLE, PRINCIPY A FUNKCE

V § 45 odst. 2 zákona [1] jsou stanoveny principy bezpečného využívání jaderné energie pro jaderné zařízení s jaderným reaktorem: „(2) Jaderné zařízení s jaderným reaktorem musí od zahájení výstavby až do vyřazení z provozu a)umožňovat v případě potřeby okamžitě a bezpečně odstavit jaderný reaktor a udržovat jej v podkritickém stavu, b)zabránit nekontrolovanému rozvoji štěpné řetězové reakce, c)fyzikálně znemožnit vznik kritického a nadkritického stavu mimo vnitřní prostor jaderného reaktoru, d)zajišťovat odvod tepla vytvářeného jaderným palivem a technologickými systémy a e)zajistit stínění a zabránit úniku radioaktivní látky a šíření ionizujícího záření do životního prostředí.“

Funkce zajišťující plnění těchto principů jsou základní bezpečnostní funkce. V případě DEC B lze základní bezpečnostní funkce podle zákona [1] shrnout do 3 funkcí: (1) dosažení a dlouhodobé udržení podkritičnosti (§ 45 odst. 2 písm. a), b), c)zákona [1]), (2) zajištění odvodu tepla z aktivní zóny reaktoru a z vyhořelého paliva, (3) zadržení radioaktivních látek.

V § 4 odst. 1 vyhlášky [2] jsou stanoveny bezpečnostní cíle projektu jaderného zařízení: „(1) Projekt jaderného zařízení, včetně projektu změny jaderného zařízení, musí plnit tyto bezpečnostní cíle: a)předcházení havarijním podmínkám, b)zmírnění důsledků havarijních podmínek, pokud k nim dojde, c)zajištění, že prakticky vyloučenou skutečností jsou 1.radiační havárie, při které není dostatečný čas pro zavedení neodkladných ochranných opatření pro obyvatelstvo (dále jen „časná radiační havárie“), a 2.radiační havárie, která vyžaduje neodkladná ochranná opatření pro obyvatelstvo, která nelze omezit místně nebo časově (dále jen „velká radiační havárie“),“ V podmínkách DEC B je zásadní zajištění praktického vyloučení vzniku časné radiační havárie nebo velké radiační havárie, případně zmírnění důsledků havarijních podmínek.

Z technického hlediska je plnění bezpečnostních cílů zajištěno zejména obecnými principy návrhu projektu, tj. ochranou do hloubky (§ 43 písm. c)zákona [1]), odstupňovaným přístupem (§ 5 odst. 8 zákona [1]) a zajištěním dostatečných bezpečnostních rezerv projektu zajišťujících předcházení hranovému efektu (§ 25 odst. 3 písm. b)[2]).

V následující tabulce je uvedeno zařazení DEC do kategorií stavů JE: Stavy jaderného zařízení (dle projektu) Prakticky Provozní stavy Havarijní podmínky vyloučené Rozšířené projektové podmínky skutečnosti (podmínky, Základní Těžké havárie (Události Normální Abnormální Události bez vážného stavy, projektové s vážným poškozením provoz provoz poškození paliva události)5 nehody paliva) DEC A DEC B

Kategorie rozšířených projektových podmínek DEC, jako stavu JE, byla zavedena jako součást ochrany do hloubky za účelem dalšího zvýšení bezpečnosti jaderných zařízení tak, aby bylo dosaženo:

• potvrzení nebo posílení schopnosti JE předcházet nebo odolat událostem závažnějším, než jsou
události definované jako základní projektové nehody [9], [16],
• omezení úniků radioaktivity s možným dopadem na obyvatelstvo a životní prostředí na nejnižší
rozumně proveditelnou úroveň [9], [16].

Pro identifikované relevantní postulované iniciační události a scénáře DEC B je třeba provést jejich deterministické analýzy a zhodnotit, zda ochranná opatření implementovaná v konkrétní JE v rámci 4.úrovně ochrany do hloubky (definice jednotlivých úrovní je provedena v [6]) jsou schopná zajistit zachování takové úrovně funkcí kontejnmentu, která je vyžadována projektem konkrétní JE v rámci 4.úrovně ochrany do hloubky a to minimálně v takovém rozsahu, aby se předešlo velké nebo časné radiační havárii (v souladu s § 6 odst. 4 písm. e)a § 7 odst. 5 a 6 vyhlášky [2]).

Bezpečnostní funkce a další funkce ve 4. úrovni ochrany do hloubky plní SKK, které jsou pro tento účel specificky navrženy v projektu JE (stabilní i mobilní SKK). Zejména u starších jaderných reaktorů se použijí i SKK vybrané či sestavené z SKK překonaných úrovní ochrany do hloubky, ale možnost jejich použití (účinnost, odolnost, dostupnost apod.) musí být ověřena a odůvodněna pro konkrétní scénáře a podmínky DEC B. Systémy 4.úrovně ochrany do hloubky se aktivují automaticky nebo zásahem obsluhy v souladu s předpoklady projektu a s vnitřními předpisy.

Plní-li jednotlivé SKK bezpečnostní funkce ve více úrovních ochrany do hloubky, jsou navrhovány nebo zodolňovány v souladu s nejnáročnějšími na ně kladenými požadavky [6]. 5 Prakticky vyloučené skutečnosti (podmínky, stavy, události) obvykle jsou těžkou havárií nebo vedou ke vzniku těžké havárie. Rozdělení v tabulce slouží k orientaci ve stavech projektu jaderné elektrárny v souladu s definicemi uvedenými v § 2 písm. a), d)až h), k)vyhlášky [2] pro účely projektu jaderné elektrárny a uplatnění principu ochrany do hloubky. A SCÉNÁŘŮ

K výběru postulovaných iniciačních událostí a scénářů se používají následující metody:

• deterministická – na základě odborného inženýrského úsudku založeného na znalosti projektu
a zkušenostech z provozu podobných zařízení; tato metoda slouží k identifikaci souboru (seznamu) postulovaných iniciačních událostí a scénářů, které mají být analyzovány,
• pravděpodobnostní (využití pravděpodobnostního hodnocení).
Obě metody jsou vzájemně provázány a navzájem se ovlivňují.

Mezi postulované iniciační události a scénáře DEC B se zařadí takové postulované iniciační události nebo scénáře, které svými parametry a následky překračují kritéria přijatelnosti pro DEC A pro stav jaderného paliva.

Předpokládá se, že postulovaná iniciační událost nebo scénář DEC B může začínat při provozu JE na libovolné úrovni výkonu i během jakýchkoli podmínek odstaveného stavu, kdy je v reaktoru umístěno jaderné palivo a dále pak v bazénu skladování ozářeného paliva, pokud vznik a rozvoj scénáře DEC B není za takových podmínek a v takovém umístění prakticky vyloučenou skutečností.

Rozsah analyzovaných postulovaných iniciačních událostí a scénářů DEC B pro starší jaderné reaktory je zpracován v takovém rozsahu, aby poskytoval dostatečné podklady pro:

• zpracování PSA-2,
• zpracování vnitřního a vnějšího havarijního plánu (pro sestavení databáze reprezentativních
zdrojových členů; určení kategorií zdrojových členů),
• prokázání účinnosti prostředků pro zvládání postulovaných iniciačních událostí a scénářů DEC B,
• tvorbu SAMG,
• hodnocení přijatelnosti reziduálního rizika, plynoucího ze záměrného nebo nezáměrného nezahrnutí
některých postulovaných iniciačních událostí a scénářů
• zpracování PSA-3, pokud se bude provádět.

Výběr postulovaných iniciačních událostí a scénářů DEC B, které budou detailně analyzovány pomocí deterministické analýzy, vychází z výsledků PSA-1 pro konkrétní projekt JE. Modely PSA odpovídají aktuálnímu stavu posuzovaného projektu a zahrnují události iniciované vnitřními a vnějšími ohroženími pro všechny režimy provozu. PSA je specifická pro území k umístění jaderného zařízení a zahrnuje vzájemný vliv všech jaderných zařízení v lokalitě.

Pro hodnocení by měly být vybrány minimálně takové postulované iniciační události a scénáře, které nejsou v souladu s doporučením bodů (8.10) a (8.14) bezpečnostního návodu [6] považovány za prakticky vyloučené, tj. takové, jejichž příspěvek k LERF nebo LLRF je větší než 10-7/rok. Na základě výsledků provedených citlivostních studií (viz BN-JB-1.5, odst. 8.14) by se měly též analyzovat vybrané scénáře, jejichž příspěvek k LERF a LLRF je podílem větším než 10 % nebo frekvence výskytu vykazují největší hodnoty příspěvku k celkové nejistotě výsledku LERF a LLRF. V případě postulovaných iniciačních událostí a scénářů vedoucích k radiační havárii s obtokem ochranné obálky by se měly též analyzovat ty, jejichž frekvence výskytu je menší než 10-7/rok a zároveň větší než 10-8/rok (v souladu s bodem (8.17) návodu [6]).

Soubor deterministických analýz postulovaných iniciačních událostí a scénářů DEC B by měl obsahovat analýzy prokazující praktické vyloučení vybraných postulovaných iniciačních událostí a scénářů, zejména takových, které by mohly vést k:

• rychlému poškození aktivní zóny a následnému časnému selhání ochranné obálky, jako jsou:
o roztržení reaktorové nádoby, o těžká havárie způsobená velkým vnosem reaktivity,
• selhání ochranné obálky, jako jsou:
o přímý ohřev kontejnmentu vypuzením koria z reaktorové nádoby pod vysokým tlakem, o velká parní exploze v šachtě reaktoru, o výbuchy vodíku nebo jiných hořlavých plynů,
• pozdnímu selhání ochranné obálky, jako jsou:
o interakce roztavené aktivní zóny s betonem při rozlití taveniny na suchý beton, která není dostatečně časově a místně omezená, o ztráta odvodu tepla z ochranné obálky v dlouhodobém časovém intervalu,
• časné nebo velké radiační havárii způsobené obtokem ochranné obálky,
• tavení paliva za vysokého tlaku v I.O,
• tavení paliva při haváriích ve stavech JE bez možnosti hermetizace ochranné obálky (včetně podmínek
v odstaveném stavu) nebo v BSVP umístěném mimo ochrannou obálku.

Soubor deterministických analýz postulovaných iniciačních událostí a scénářů by měl obsahovat analýzy demonstrující účinnost opatření, realizovaných pro zmírnění následků těžkých havárií a prokazujících použitelnost těchto opatření.

Soubor deterministických analýz postulovaných iniciačních událostí a scénářů DEC B by měl obsahovat následující postulované iniciační události a scénáře (pokud při nich dojde ke vzniku podmínek DEC B), jako jsou:

• těžká havárie způsobená SBO [25],
• těžká havárie způsobená nárazem velkého dopravního letadla [25],
• těžká havárie způsobená iniciační událostí typu velká LOCA s následným selháním systémů ochrany
do hloubky do úrovně 3b [14],
• těžká havárie způsobená iniciační událostí typu malá LOCA s následným selháním systémů ochrany
do hloubky do úrovně 3b [14].

Úplnost seznamu analýz postulovaných iniciačních událostí a scénářů DEC B, který byl přejat z mezinárodně uznávaných zdrojů, je nutné ověřit pro konkrétní projekt provedením pravděpodobnostního hodnocení bezpečnosti (viz bod (3.5)). K prokázání správnosti zavedení principů ochrany do hloubky jsou do seznamu analýz zařazeny i postulované iniciační události a scénáře s velmi malou frekvencí výskytu, které ale mají potenciál ohrozit funkci ochranné obálky (§7 odst. 7 vyhlášky [2]). Na druhou stranu ze seznamu mohou být vyřazeny scénáře fyzikálně nereálné pro konkrétní projekt JE.

Postulované iniciační události a scénáře mohou být vybrány jako obálkové (ve smyslu pokrytí stanovených výsledků analýz procesů, které mají obdobnou příčinu, zadání nebo způsob zvládání, a plní stejné kritérium přijatelnosti) pro více událostí nebo scénářů.

Pro účely sestavení databáze reprezentativních zdrojových členů pro zpracování vnitřního a vnějšího havarijního plánu jsou vybrány a zpracovány analýzy všech postulovaných iniciačních událostí a scénářů, které nejsou prakticky vyloučené (v souladu bodem (3.6) tohoto návodu a s doporučeními bodů (8.10), (8.14), (8.15) a (8.17) bezpečnostního návodu [6]) i reprezentativní analýzy vybraných reprezentativních prakticky vyloučených postulovaných iniciačních událostí a scénářů. Výběr reprezentativních analýz pro tyto účely musí být řádně odůvodněn.

I když pravděpodobnostní hodnocení prokáže, že pravděpodobnost vzniku a rozvoje postulované iniciační události nebo scénáře DEC B je extrémně malá, je nutné deterministické analýzy postulovaných iniciačních událostí a scénářů provádět (v souladu s odst. 7 vyhlášky [2]) minimálně pro účely a v rozsahu daném seznamem v bodě (3.4), a to i pro nové jaderné reaktory s výjimkou případů, kdy je vznik takové postulované iniciační události nebo scénáře fyzikálně nemožný. Případná tvrzení o fyzikální nemožnosti vzniku těžké havárie za určitých podmínek musí být pečlivě zdůvodněna (nejen inženýrským posouzením, ale i analyticky) při zohlednění mezinárodních požadavků a doporučení pro nové jaderné reaktory (zejména [6], [13], [15], [20], [21], [22] ale i další).

Ke zpracování podkladů pro hodnocení bezpečnosti se používá kombinace deterministických a pravděpodobnostních metod. Rozsah analýz i použité metody musí být zdůvodněny. To je základem tzv. integrovaného deterministického a pravděpodobnostního hodnocení bezpečnosti [17]. Požadavky na pravděpodobnostní hodnocení bezpečnosti jsou popsány v samostatném návodu [5].

Jedním z cílů deterministických analýz je prokázání zachování funkce fyzických bariér mezi radioaktivními látkami a životním prostředím. Postulované iniciační události a scénáře, pro které nelze zajistit funkčnost alespoň jedné bariéry ochrany do hloubky (v případě analýz postulovaných iniciačních událostí a scénářů DEC B ochranné obálky), by měly být v případně nových jaderných reaktorů prakticky vyloučeny.

V případě starších jaderných reaktorů není vždy obecně možné požadovat zachování úplné funkčnosti ochranné obálky, i přes to musí být prakticky vyloučeny postulované iniciační události a scénáře způsobující časnou nebo velkou radiační havárii. Požadavek na zajištění funkce ochranné obálky lze pro ně považovat za omezený časově a v rozsahu funkce. Kritéria přijatelnosti výsledků deterministické analýzy postulovaných iniciačních událostí a scénářů DEC B u starších jaderných reaktorů proto vychází z akceptovatelnosti následků havárie.

Bezpečnostní analýzy prokazují: 1.splnění požadavku na praktické vyloučení časné nebo velké radiační havárie v souladu s [2] § 4 odst. 1 a [7] 2.zachování funkce ochranné obálky v souladu s projektem JE6, 3.správnou aplikaci principů ochrany do hloubky7, 4.dostatečnost bezpečnostních rezerv a konzervativnost projektu.

Pro provádění deterministických analýz postulovaných iniciačních událostí a scénářů DEC B jsou uplatněny následující principy:

• Je preferován realistický přístup k volbě vstupních parametrů a předpokladů. Použití konzervativního
přístupu je možné, pokud to má odůvodnění a pokud nehrozí, že použitím nadměrně konzervativních předpokladů bude znemožněno nalezení prakticky realizovatelných opatření vedoucích ke zmírnění následků havárie.
• Pokud není možné určit realistické hodnoty zadávaných vstupních parametrů (např. z důvodu
existence velkých neurčitostí), je vhodné provést citlivostní analýzu vlivu volby vstupních parametrů pro maximální rozmezí jejich realistických hodnot (v souladu s bodem 7.67 [14]).
• Přiměřeně konzervativní přístup je uvažován při analýzách určených pro zpracování vnitřního
a vnějšího havarijního plánu. 6 V souladu s požadavky na funkčnost při rozšířených projektových podmínkách. 7 Pro nové jaderné reaktory musí být splněno kritérium na oddělení jednotlivých úrovní ochrany do hloubky v souladu s [13] a [15]. Pro starší jaderné reaktory je možné připustit určité zmírnění požadavku se zohledněním praktické realizovatelnosti dodatečných opatření pro oddělení jednotlivých úrovní ochrany do hloubky a dodatečného rizika plynoucího z možného vzniku poruchy ze společné příčiny.
• Veškeré poruchy SKK uvažované během scénáře jsou součástí scénáře. Není tedy relevantní aplikovat
kritérium jednoduché poruchy ani ztrátu pracovních a rezervních zdrojů elektrického napájení, pokud tyto nejsou součástí scénáře.
• Uvažuje se použití SKK zařazených do 4. úrovně ochrany do hloubky přímo v projektu konkrétní JE,
a případně dalších SKK, u kterých lze prokázat kvalifikaci na prostředí vzniklé během scénáře a jejichž selhání není součástí scénáře (tedy vytvoření nových systémů pro 4.úroveň z těchto „zbývajících“ SKK), zejména SKK s pasivní funkcí (více viz (5.7)).

Deterministické bezpečnostní analýzy postulovaných iniciačních událostí a scénářů DEC B jsou provedeny ověřenými metodami (ve smyslu požadavku § 5 odst. 1 vyhlášky [4], viz dále (4.8)) a dokumentovány tak, aby byly ověřitelné, což je obecný požadavek na zpracování a prezentování bezpečnostních analýz. Pokud je v analýze využit inženýrský úsudek, musí být dostatečně detailně popsán, aby bylo možné jeho ověření (např. nezávislým hodnocením).

Deterministické analýzy postulovaných iniciačních událostí a scénářů DEC B použité jako průkaz bezpečnosti v PrBZ:

• stanoví radiační následky možných radiačních havárií vzniklých v důsledku analyzovaných
postulovaných iniciačních událostí a scénářů (to může být provedeno obálkovým způsobem),
• prokážou rezervy do ztráty projektových charakteristik SKK, určených pro zvládání těchto situací
a prokážou dostatečné bezpečnostní rezervy zajišťující předcházení hranovým efektům (tam, kde je to relevantní),
• určí koncový kontrolovaný stav události [16] a požadavky na dobu trvání funkce potřebných SKK
a zásahy personálu.

Deterministické analýzy postulovaných iniciačních událostí a scénářů DEC B použité jako průkaz bezpečnosti v PrBZ musí být v přiměřeném rozsahu nezávisle ověřeny minimálně nezávislým inženýrským posouzením výpočtu a jeho výsledků pracovníkem nebo skupinou pracovníků, která se nepodílela na provedení analýz, předkládaných v PrBZ (v souladu s požadavkem § 49 odst. 1 písm. f)zákona [1]).

Deterministické analýzy postulovaných iniciačních událostí a scénářů DEC B berou v úvahu umístění JE, dostupné prostředky, podmínky spojené s uvažovaným scénářem a proveditelnost opatření předpokládaných projektem a EOP, SAMG a postupy pro použití DAM (dokumentace pro zvládání havarijních podmínek, § 26 -

[28]).

Při simulaci úniku štěpných produktů z ochranné obálky je možné uvažovat jevy přirozené depozice a záchytu v důsledku činnosti dostupných SKK uvnitř ochranné obálky resp. na její hranici a dále pak činnost filtračních systémů, pokud jsou použity. Lze uvažovat zadržení štěpných produktů při průchodu netěsností ochranné obálky, ale pouze na základě jevů, které jsou dostatečně experimentálně prozkoumány a v rozsahu, který je ověřen měřením Hodnocení je nutné provádět výpočetními programy validovanými na základě experimentálních/měřených dat. Zadržení štěpných produktů v prostorech JE mimo ochrannou obálku (včetně případu bypassu ochranné obálky) lze uvažovat pouze v případě, že je možné věrohodně (měřením charakteristik konkrétních prostorů JE, měřením reprezentativních prostorů, na základě výsledků měření na experimentálním zařízení apod.) určit charakter a velikost úniku z těchto prostor včetně jeho časové změny a prokázat zachování integrity těchto prostor za podmínek postulovaných iniciačních událostí a scénářů DEC. To se týká i meziprostoru dvojité ochranné obálky. V případě, že v průběhu postulovaných iniciačních událostí a scénářů DEC B existuje riziko porušení integrity prostorů JE mimo ochrannou obálku, kde je uvažováno zadržení, musí být prokázána konzervativnost modelů resuspenze aerosolů po selhání těchto prostorů nebo musí být zadržení v těchto prostorech zanedbáno.

Doporučuje se doplnit hodnocení bezpečnosti o zpracování PSA v rozsahu nezbytném pro určení kategorií zdrojových členů z deterministických bezpečnostních analýz postulovaných iniciačních událostí a scénářů DEC B, případně o komplexní studii PSA-3.Zpracování pravidelné aktualizace této studie umožní jednoznačně vyhodnotit, zda hodnocená JE přiměřeně plní bezpečnostní cíle.

Ke zpracování hodnocení bezpečnosti jsou použity verifikované a validované výpočetní programy ([17]

, [11]). Požadavky na zajištění kvality výpočtů prováděných výše uvedenými výpočetními programy plynoucí z vyhlášky [4] jsou detailně popsány v bezpečnostním návodu [11].

Pro deterministické bezpečnostní analýzy postulovaných iniciačních událostí a scénářů DEC B se používají zejména integrální výpočetní programy. Simulovaný objekt v takovém případě obvykle zahrnuje celou JE včetně aktivní zóny, chladicích okruhů, ochranné obálky a SKK pro zvládání havárie. V integrálních výpočetních programech jsou implementovány zjednodušené simulační modely pro všechny důležité jevy, které se při simulovaném scénáři uplatňují, zpravidla založené na korelacích, vycházejících z experimentálních dat nebo detailního analytického rozboru. Dále se pro deterministické analýzy využívají mechanistické výpočetní programy zaměřené na detailní simulaci vybraných procesů. Od integrálních výpočetních programů se liší zejména ve fyzikálních modelech a detailnosti nodalizace simulovaného objektu. Při tvorbě výpočetních modelů pro mechanistické programy je kladen důraz na zachycení fyzikální podstaty simulovaných procesů. Simulovaný objekt často představuje pouze vybranou část JE a je simulována pouze vybraná část havarijního scénáře. Pro některé detailní výpočty je vhodné využít specifické metody, jako jsou CFD programy pro detailní výpočty proudění plynů a kapalin nebo FEM programy pro výpočet odezvy konstrukcí při zatížení.

Vzhledem ke složitosti tvorby modelů ve výše uvedených výpočetních programech je nutné zajistit vysokou úroveň znalostí modelované problematiky a vysokou úroveň znalosti tvorby modelování ze strany autora deterministické bezpečnostní analýzy postulovaných iniciačních událostí a scénářů DEC B. Dále je nutné zajistit přiměřenou úroveň validace výpočetních programů a výpočetních modelů. Z tohoto důvodu je doporučeno autorům deterministických bezpečnostních analýz (v přiměřené míře) provádět validaci výpočetních programů a modelů pomocí výsledků z experimentů prováděných v mezinárodních experimentálních programech a v experimentálních programech prováděných organizacemi na území ČR.

Při zpracování deterministických bezpečnostních analýz postulovaných iniciačních událostí a scénářů DEC B je využívána řada vstupních parametrů a předpokladů, které mohou zásadně ovlivňovat výsledky deterministické analýzy. Vstupní parametry a předpoklady jsou obvykle členěny do následujících hlavních skupin: (1) počáteční podmínky: a. výchozí stav území k umístění JE, b. výchozí režim bloku, c. základní parametry I.O., II.O., ochranné obálky, systémů havarijního chlazení AZ a dalších systémů JE (geometrie, provozní podmínky, parametry médií, materiály apod.), d. neutronově-fyzikální parametry AZ nebo BSVP (zbytkový výkon, inventář štěpných produktů v palivu), (2) okrajové podmínky a další předpoklady, zejména: a. dostupnost SKK (včetně SKŘ) pro i. prostředky DAM (4.úrovně ochrany do hloubky), ii. SKK ostatních úrovní ochrany do hloubky, které lze ve 4.úrovni uplatnit, protože lze prokázat jejich dostupnost a kvalifikaci na prostředí vzniklé během scénáře a jejichž selhání není součástí scénáře, b. nastavení a charakteristiky SKK (včetně SKŘ), c. lidské zdroje v podmínkách DEC B, zásahy pracovníků obsluhy JE (v souladu s EOP, SAMG a postupy pro použití DAM). Tyto vstupní parametry a předpoklady mají být uvedeny v dokumentaci deterministické bezpečnostní analýzy.

Obecné požadavky na vstupní parametry a předpoklady pro deterministické bezpečnostní analýzy postulovaných iniciačních událostí a scénářů DEC B vyplývají především z účelu analýzy a s tím spojené metody analýzy. V souladu s bodem (4.5) je používán realistický přístup k volbě počátečních a okrajových podmínek a v případě potřeby citlivostní analýza.

Proces přípravy a zpracování vstupních parametrů pro bezpečnostní analýzy podléhá požadavkům na systémy řízení (v rozsahu požadavků § 4, § 5 a § 15 odst. 1 vyhlášky [4]).

Použité vstupní parametry a předpoklady analýzy, resp. výpočetní model, který je na jejich základě vytvořen, uvažují reálný stav zařízení, který je aktualizován, jak s ohledem na provedené změny projektu JE, tak i na výsledky hodnocení řízeného stárnutí a výsledky periodického hodnocení bezpečnosti. Při použití referenčního modelu pro více bloků JE je prokázáno, že model odpovídá projektu a způsobu provozování všech bloků. V případě rozdílů mezi bloky je zdůvodněna použitelnost modelu (ohodnocena schopnost rozdílů ovlivnit výsledky analýzy).

Postulované iniciační události a scénáře hodnocené v rámci DEC mohou být vyvolané i ohroženími (zejména vnějšími ohroženími), které ovlivní všechna jaderná zařízení v daném území k umístění JZ. Takový stav je označován jako MUE (Multi-Unit Event). Stavy a režimy provozu jednotlivých bloků a dalších JZ v území k umístění při MUE mohou ovlivnit např. dostupnost prostředků DAM, které jsou společné pro více JZ (např. SBO diesel generátory nebo mobilní požární technika), nebo zkomplikovat přístup zasahujícího personálu (trosky budov a zařízení, kontaminace apod.). Pro každou hodnocenou postulovanou iniciační událost nebo scénář, který lze považovat za MUE, bude proto vybrána realistická kombinace výchozích stavů jednotlivých JZ v území k umístění.

V případě DEC B jsou základní bezpečnostní funkce zajištěny primárně prostředky dedikovanými pro 4.úroveň ochrany do hloubky8. Je možné uvažovat také použití SKK z předchozích úrovní ochrany do hloubky9, které zůstanou během scénáře dostupné nebo je jejich dostupnost obnovena (např. zajištěním střídavého napájení). Uvažované SKK musí být odolné vůči podmínkám prostředí působícího během analyzované postulované iniciační události nebo scénáře, musí mít dostatečnou kapacitu k zajištění základní bezpečnostní funkce a jejich použitelnost (včetně SKK s pasivní funkcí) je ověřena. Pokud je funkčnost SKK při podmínkách DEC B snížena, je nutné toto snížení ohodnotit a realisticky uvažovat ve vstupních podmínkách analýzy. U nových jaderných reaktorů by mělo být prokázáno zvládání postulované iniciační události nebo scénáře za použití SKK zařazených do 4.úrovně ochrany do hloubky, nicméně některá SKK mohou plnit více bezpečnostních funkcí, a tedy i funkce v předchozích úrovních ochrany do hloubky (to se týká zejména SKK s pasivní funkcí).

Při výběru SKK, které budou uvažovány jako dostupné během DEC B, jsou uváženy:

• konkrétní specifikace postulované iniciační události nebo scénáře včetně všech následných selhání
SKK, které jsou součástí tohoto scénáře,
• zdůvodnění předpokladu nezasažení SKK poruchou ze společné příčiny při dané postulované iniciační
události nebo scénáři (přiměřená nezávislost úrovní ochrany do hloubky).

V analýze je možné uvažovat použití jenom takových prostředků pro zvládání postulované iniciační události nebo scénáře, které popsáno v EOP, SAMG nebo postupech pro použití DAM a pro které jsou pracovníci obsluhy JE dostatečně vyškoleni.

V případě použití prostředků, systémů, zdrojů, materiálu a pracovníků obsluhy, společných pro více bloků bude ověřeno, že jsou jejich kapacity dostatečné pro všechny tyto bloky po celou dobu jejich požadovaného provozu při zvládání havarijních podmínek. Pokud jsou při DEC použity prostředky z jiných (sousedních) bloků nebo jiných JZ, potom bude prokázáno, že jejich použitím není bezpečnost bloku nebo JZ nepřijatelně snížena.

Pro naplnění § 21 odst. 7 vyhlášky [2] musí být JE v podmínkách DEC dlouhodobě nezávislá na vnějších dodávkách energií a dalších vstupů pro podporu plnění bezpečnostních funkcí alespoň pro období10, pro které není s vysokou věrohodností prokázáno, že je možné je obnovit. Analýzy postulovaných iniciačních událostí a scénářů DEC B proto neuvažují při předpokladech o dostupnosti SKK obnovení dodávek energií a dalších vstupů pro podporu bezpečnostních funkcí pro uvedené období.

Předpoklady o dostupnosti všech SKK používaných pro zajištění základních bezpečnostních funkcí pro DEC a majících vliv na hodnocená kritéria budou zdůvodněny v bezpečnostní analýze. 8 Pro alternativní a mobilní prostředky, při splnění požadavků uvedených v § 7 odst. 4 vyhlášky [2]. 9 Při splnění požadavků uvedených v § 7 odst. 2 a 3 vyhlášky [2] 10 Dlouhodobá zde znamená po dobu, než může být uvažována podpora lokality zvnějšku. Tato doba je minimálně 24 hodin pro podporu lidskými zdroji a lehkou technikou (např. ruční nářadí) a 72 pro podporu těžkou technikou (např. cisterny, pojízdné diesely apod.). Tento výklad se vztahuje na nové i starší JE.

Činnost pracovníků obsluhy JE

Při uvažování požadovaného zásahu obsluhy je nutné prokázat dostupnost informací, které obsluha potřebuje k rozhodnutí pro zásah. Je rovněž uvažován časový odstup mezi indikací pro zásah a realizací zásahu. Délka časového odstupu je zdůvodněna a proveditelnost zásahu prokázána analýzou dostupnosti systémů a dostatečného výcviku provozního personálu.

V případě zásahu obsluhy mimo blokovou dozornu nebo nouzovou dozornu (po opuštění blokové dozorny) je v bezpečnostní analýze uváženo a doloženo následující: (1) existence postupu (vnitřního předpisu), podle kterého se zásah provádí, (2) potřebný výcvik pracovníků obsluhy JE, (3) dostatek informací pro provedení konkrétní činnosti, (4) dostupnost používaných prostředků a odpovídajícího el. napájení, (5) fyzická přístupnost ovládaného zařízení nebo jeho ovladačů s ohledem na podmínky postulované iniciační události nebo scénáře a podmínky MUE, (pokud jde o manuální zásah), (6) dostatečná schopnost a kapacita prostředků pro plnění požadovaných funkcí i za podmínek MUE, (7) manipulační časy pro zásahy pracovníků obsluhy, které budou brát v úvahu: o stav JE (zejména v případě vnitřních a vnějších ohrožení), o stav pracovníků obsluhy v souladu s provozním režimem JE a území k umístění jaderného zařízení (zejména, pokud některé profesní funkce jsou společné pro více bloků/jaderných zařízení), o dobu pro přípravu a dopravu osob a materiálu na místo zásahu.

Manipulační doby, zahrnující i např. dopravní zpoždění počátku dodávky médií nebo čas na přesun osob a materiálu na místo zásahu, jsou stanoveny realisticky a budou prioritně odvozeny z výsledků zkoušek systémů a komponent, určených pro zvládání DEC, provedených na dané JE a ze zkušeností obsluhy v daném území k umístění jaderného zařízení.

Dálkové ruční ovládání systémů a komponent z blokové dozorny, nouzové dozorny, případně z ovládacího místa zřízeného pro účely DEC B, je v podmínkách DEC B považováno za funkční, pokud má k dispozici elektrické napájení stanovené vnitřním předpisem a pokud nebylo poškozeno v důsledku postulované iniciační události nebo scénáře, případně vnitřního nebo vnějšího ohrožení.

V případě zásahu za havarijních podmínek jsou zasahující pracovníci obsluhy považováni za zasahující osoby. Pro omezení havarijního ozáření zasahující osoby v nehodové expoziční situaci se podle § 104 odst. 4 zákona [1] použije limit pro radiačního pracovníka podle § 4 vyhlášky [24]. V případech kdy nelze vyloučit překročení limitů ozáření, optimalizuje se havarijní ozáření zasahující osoby za použití referenční úrovně 100 mSv za rok, nebo 500 mSv za rok, jedná-li se o případ záchrany lidských životů či zabránění rozvoje nehodové expoziční situace s možnými rozsáhlými společenskými a hospodářskými důsledky. U nových reaktorů při dálkovém ručním ovládání podle odstavce (5.16) by mělo být vyloučeno překročení limitu pro radiačního pracovníka.

Hodnocení bezpečnosti JE prostřednictvím výpočetních analýz je obvykle prováděno ve dvou rovinách. Je prokazováno plnění: (1) Deterministických cílů, které se v technické praxi provádí vyhodnocením splnění kritérií přijatelnosti, která jsou definována bezpečnostními, technickými nebo administrativními podmínkami nebo mezemi určité veličiny a (2) Pravděpodobnostních cílů, které se v technické praxi provádí vyhodnocením dosažení mezních hodnot četností výskytu vybraných následků postulované iniciační události (zejména LERF, určení kategorií zdrojových členů z deterministických bezpečnostních analýz postulovaných iniciačních událostí a scénářů DEC B).

Pro splnění deterministických cílů událostí a scénářů DEC B lze odvodit následující kritéria přijatelnosti:

• časná radiační havárie (zahájení úniku do 10 hodin od vyhlášení radiační havárie) je prakticky
vyloučená,
• velká radiační havárie (havárie s únikem více než 1 % 137Cs 11) je prakticky vyloučená,
• je zajištěna integrita ochranné obálky (toto kritérium je rozpracováno a okomentováno v bodě (6.5))
po dostatečnou dobu (pro starší JE)/vždy (pro nové JE),
• nesmí dojít k překročení zásahových úrovní pro zavádění neodkladných ochranných opatření mimo
stanovenou zónu havarijního plánování,
• celková (individuální) efektivní dávka v průběhu nehodové expoziční situace musí být menší než
100 mSv. Ozáření v důsledku příjmu požitím se neuvažuje (§ 106 a 107 odst. 3 vyhlášky [24]),
• je podle § 104 zákona odst. 4 [1] zajištěno omezení/optimalizace havarijního ozáření zasahující osoby
v prostorách JE pro možnost vykonávání funkcí personálu nezbytných pro zvládání havarijních podmínek DEC B.

Pro splnění pravděpodobnostních cílů musí být vyhodnocena četnost výskytu postulovaných iniciačních událostí a scénářů, které vedou k časné nebo velké radiační havárii a prokázáno jejich praktické vyloučení.

Pro nové jaderné reaktory jsou navíc podle [26] doporučena následující omezení pro neodkladná (krátkodobá) opatření:

• evakuace je akceptovatelná do vzdálenosti 3 km od havarovaného bloku,
• ukrytí a jódová profylaxe jsou akceptovatelné do vzdálenosti 5 km od havarovaného bloku.
Dále jsou pro nové jaderné reaktory navíc podle [26] doporučena následující prostorová a časová omezení pro následná (dlouhodobá) opatření:
• omezení na konzumaci potravin produkovaných ve vzdálenosti větší jak 5 km od havarovaného bloku
nesmí přesáhnout jeden rok,
• trvalé přesídlení obyvatel není akceptovatelné nikde (ani uvnitř zóny havarijního plánování),
11 1 % maximálního inventáře 137Cs v reaktoru VVER440 provozovaném na nominálním výkonu 1375 MWt. Tato hodnota je v souladu s požadavkem vyhlášky [3] a v souladu s mezinárodní praxí, která je zachycena např. v [27], současně je nutné používat jednotnou hodnotu pro všechny JE v ČR. V praxi je možné jako kritérium přijatelnosti využívat tuto hodnotu vyjádřenou ve vhodných ekvivalentních jednotkách, např. Bq 137Cs.
• ztráta těsnosti ochranné obálky je prakticky vyloučenou skutečností i v dlouhém období po vzniku
havárie. Uvedená kritéria pro nové jaderné reaktory mají za cíl zajistit, že nedojde ani k pozdnímu malému úniku (viz definice kategorií zdrojových členů) s nepřijatelnými následky.

Pro zajištění plnění kritérií přijatelnosti, viz (6.2) a dále základního bezpečnostního cíle spočívajícího ve zmírnění důsledků havarijních podmínek jsou formulovány následující požadavky v oblasti zachování bezpečnostní funkce ochranné obálky, jakožto fyzické bariéry bránící úniku radioaktivních látek a ionizujícího záření:

• Je proveditelná izolace hermetického prostoru ochranné obálky a v něm umístěných systémů od
okolního prostředí před rozvojem scénáře do DEC B. V případě, kdy je ve výchozím stavu před postulovanou iniciační událostí systém ochranné obálky otevřený, je analyzována doba potřebná k uzavření a utěsnění ochranné obálky. Pokud v některých stavech bloku nebude možné provést izolaci ochranné obálky dostatečně včas, potom těžké poškození AZ musí být prakticky vyloučenou skutečností (§ 44 odst. 3 [2]). Tavení paliva v BSVP, který není umístěn v ochranné obálce, musí být prakticky vyloučenou skutečností.
• Tlak (včetně podtlaku) a teplota v ochranné obálce jsou řízeny. Pokud je pro udržení tlaku v ochranné
obálce použito odpouštění (venting), potom je trasa opatřena filtrací tak, aby byla splněna kritéria přijatelnosti pro radiační následky resp. požadavek na praktické vyloučení časné nebo velké havárie (viz komentář k SRL F4.8 v [16]).
• Ohrožení integrity a těsnosti ochranné obálky a funkčnosti dalších SKK v důsledku vzniku hořlavých
plynů je omezeno. Jsou uvažovány všechny hořlavé plyny (nejen vodík) vznikající v AZ nebo vyhořelém jaderném palivu a při interakci koria s materiály ochranné obálky nebo materiály umístěnými v ochranné obálce. Analýzy ohrožení integrity a těsnosti ochranné obálky v důsledku vzniku hořlavých plynů zahrnují zvyšování teploty v důsledku hoření, tlakové vlny a účinek vysokoenergetických fragmentů vzniklých při explozi.
• Obtok ochranné obálky nesmí způsobit vznik časné nebo velké radiační havárie.
• Pro nové jaderné reaktory by měla být ztráta funkce ochranné obálky prakticky vyloučenou
skutečností.

Pro zajištění plnění obecných kritérií přijatelnosti, viz (6.2) a dále v souladu s principy bezpečného využívání jaderné energie (§ 45 odst. 2 zákona [1]), je stanoven požadavek na udržování reaktoru v podkritickém stavu po jeho odstavení. V průběhu scénářů těžkých havárií mohou vzniknout situace, kdy tento požadavek na zajištění základní bezpečnostní funkce nebude po určitou dobu plněn. Toto neplnění musí být ale časově a výkonově omezené s uvážením požadavku na plnění bezpečnostních cílů projektu, tedy zmírnění důsledků havárie a zejména vyloučení časné radiační havárie nebo velké radiační havárie.

Výsledky deterministických bezpečnostních analýz postulovaných iniciačních událostí a scénářů zpracovaných podle tohoto bezpečnostního návodu jsou dle přílohy č. 3 vyhlášky [2] součástí PrBZ. Ve specifických případech jsou výsledky použity pro prokázání efektivnosti prostředků pro zvládání scénářů DEC B a pro hodnocení přijatelnosti reziduálního rizika, jako podklady pro tvorbu a validaci SAMG, pro zpracování vnitřního a vnějšího havarijního plánu, zpracování PSA-2 nebo PSA-3.

Minimální obsah a forma dokumentace deterministických bezpečnostních analýz postulovaných iniciačních událostí a scénářů DEC B, a v ní obsažených informací, je (až na položky irelevantní pro konkrétní analýzu vzhledem k jejímu účelu nebo jiným specifikům) následující: (1) vstupní parametry a předpoklady, počáteční a okrajové podmínky (může být v konkrétní dokumentaci řešeno odkazem), specifikace provozního stavu JE při postulované iniciační události nebo scénáři, (2) popis použitého vstupního modelu, (3) účel/cíle analýzy a související metody analýzy, (4) výběr, identifikace a zdůvodnění volby postulované iniciační události nebo scénáře, včetně dalších faktorů, které způsobují rozvoj scénáře do DEC B, (5) programy, modely a postupy použité pro analýzu, (6) seznam systémů, včetně záložních a mobilních prostředků, použitých personálem při řešení postulované iniciační události nebo scénáře spolu s rozborem jejich dostupnosti v podmínkách DEC; identifikace systémů a komponent, které jsou klíčové pro splnění bezpečnostních cílů analýzy, (7) seznam kritérií přijatelnosti použitých pro analýzu, (8) předpoklady o činnosti personálu a postupy pro činnost personálu zahrnující: i. identifikaci administrativních opatření a postupů (EOP, SAMG, postupy pro použití DAM), které jsou důležité pro zabránění vážného poškození paliva, ii. identifikaci dalších doplňujících opatření, která jsou důležitá pro zabránění vážného poškození paliva nebo prevenci časných nebo velkých úniků aktivity do okolního prostředí, (9) prezentace výsledků analýzy zahrnující: iii. časový průběh hlavních jevů/událostí a činnost systémů pro: 1.klíčové fyzikální procesy, 2.činnost systémů a komponent, 3.zásahy pracovníků obsluhy podle EOP, SAMG a postupy pro použití DAM, iv. rozbor chování systémů, v. grafické průběhy klíčových parametrů, vi. koncový stav JE, vii. plnění kritérií přijatelnosti, viii. vyhodnocení radiačních následků postulované iniciační události nebo scénáře, pokud je to z hlediska účelu analýzy relevantní, (10) rozbor neurčitostí výsledků nebo rozbor výsledků citlivostní studie (pokud je metodou analýzy požadován). PŘÍLOHY Příloha č. 1: Kritéria přijatelnosti pro radiační ochranu Kritéria přijatelnosti pro radiační ochranu jsou v dokumentu [23] upravena v souladu s platnou legislativou [24]. pravděpodobnost kategorie události kritérium přijatelnosti pro radiační vzniku události podle ANSI/ANS projektový stav ochranu [1/rok] 52.1-1983 Dodržení stanoveného autorizovaného I normální limitu pro výpusti z pracoviště do ovzduší (DBC1) provoz a do vod; uvažují se všechny expoziční cesty. Nepřekročení efektivní dávky II ≥10-1 abnormální provoz reprezentativní osoby 0,1 mSv za rok; (DBC2) uvažují se všechny expoziční cesty. základní projektové Nepřekročení efektivní dávky III nehody – události (10-1;10-2> reprezentativní osoby 1 mSv za rok; (DBC3) s řídkou četností uvažují se všechny expoziční cesty. výskytu základní projektové IV (10-2;10-4> nehody – limitující Nepřekročení zásahové úrovně 10 mSv za (DBC4) nehody 2 dny pro zavádění neodkladných ochranných opatření v okolí jaderného rozšířené zařízení; ozáření v důsledku příjmu V projektové požitím se neuvažuje (§ 107 odst. 3 (10-4;10-6> (DEC A)podmínky typu A vyhlášky č. 422/2016 Sb.). (bez tavení AZ) Nepřekročení zásahových úrovní pro zavádění neodkladných ochranných těžké havárie opatření mimo stanovenou zónu (rozšířené havarijního plánování. <10-6 (DEC B)projektové Ozáření v důsledku příjmu požitím se podmínky typu B)neuvažuje. Celková efektivní dávka v průběhu nehodové expoziční situace menší než 100 mSv (§ 107 odst. 3 vyhlášky č. 422/2016 Sb.). Příloha č. 2: Srovnání s požadavky dokumentu „WENRA Safety Reference Levels for Existing Reactors (2014)“ [9], část F Požadavky části F dokumentu [9] nejsou, na rozdíl od tohoto návodu, zaměřeny pouze na deterministické bezpečnostní analýzy postulovaných iniciačních událostí a scénářů DEC, ale také na projekt jaderné elektrárny v oblasti SKK určených k zmírňování následků postulovaných iniciačních událostí a scénářů DEC. Dále je část F dokumentu [9] zaměřena jak na DEC A tak DEC B. V následující tabulce je provedeno srovnání obsahu tohoto návodu s požadavky části F dokumentu [9] pouze v oblasti požadavků aplikovatelných na DEC B (pokud lze konkrétní požadavek uplatnit jak na DEC A tak DEC B, pak je ve výčtu uveden) a pouze z pohledu deterministických bezpečnostních analýz (tj. průkazu naplnění nikoli technického řešení). požadavek dokumentu WENRA SAFETY REFERENCE LEVELS FOR EXISTING REACTORS (2014) [9] část dokumentu BN-JB-2.3 F 1.1 (2.6) F 1.2 (2.4), (2.5), (2.7) F 2.1 (3.1), (3.5) F 2.2 - F 2.3 (3.2), (3.9) F 3.1 (a)(4.5) F 3.1 (b)(4.6), (4.8), (4.5) F 3.1 (c)(3.4), (2.7) F 3.1 (d)(4.7) F 3.1 (e)(4.9) F 3.1 (f)(4.7) F 3.1 (g)(3.5), (3.6) F 3.1 (h)(5.7), (5.8), (5.12) F 3.1 (i)(4.7) F 4.1 (2.2), (4.4) F 4.2 (5.7), (5.8), (5.12) F 4.3 - F 4.4 (5.10) F 4.5 (5.11) F 4.6 (6.6) F 4.7 - F 4.8 (6.5) F 4.9 (6.5) F 4.10 (6.5) F 4.11 (6.5) F 4.12 (3.7) F 4.13 (3.7) F 4.14 (6.2) F 4.15 - F 4.16 - F 4.17 - F 4.18 - F 5.1 -