Důvodem pro vydání tohoto bezpečnostního návodu DETERMINISTICKÉ A ZÁKLADNÍCH PROJEKTOVÝCH NEHOD je požadavek na stanovení pravidel pro hodnocení jaderné bezpečnosti a radiační ochrany projektu jaderného zařízení při událostech abnormálního provozu a základních projektových nehodách. Návod vychází z mezinárodních doporučení WENRA, IAEA a ze zkušeností nejvýznamnějších evropských provozovatelů JE. Základní požadavky na toto hodnocení jsou v legislativě ČR konkretizovány ve vyhlášce č. 329/2017 Sb., o požadavcích na projekt jaderného zařízení [2].

Konkrétním cílem tohoto dokumentu je poskytnout návod na zpracování deterministických bezpečnostních analýz událostí abnormálního provozu a základních projektových nehod pro vybrané iniciační události1 a jejich zvládání bezpečnostními systémy (ochrannými, výkonnými a podpůrnými bezpečnostními systémy), tedy prostředky s funkcí v úrovni ochrany do hloubky 3a, a zásahy pracovníků obsluhy jaderného zařízení. Zmíněné analýzy jsou předkládány zejména držitelem povolení v dílu 15 PrBZ. Obdobné analýzy mohou být předkládány i v dalších dílech PrBZ nebo jiných dokumentech jako součást průkazu bezpečnosti jaderného zařízení. Tento návod se nevztahuje na analýzy pevnostní, strukturální, analýzy životnosti, spolehlivosti, výkonnosti apod., které jsou z pohledu tohoto návodu zdrojem vstupních a okrajových podmínek a předpokladů o činnosti SKK.

Bezpečnostní návod je zejména určen projektantovi nebo provozovateli jaderného zařízení a jeho subdodavatelům v oblasti bezpečnostních analýz. Dodržení doporučení tohoto návodu má zajistit, že bezpečnostní analýzy v dané oblasti budou v souladu s požadavky zákona č. 263/2016 Sb., atomový zákon [2], jeho prováděcími předpisy, směrnice Euratom 2014/87 [2] a budou odrážet současnou světovou praxi (v době vydání návodu) a současná mezinárodní doporučení v oboru respektovaných mezinárodních organizací (zejména IAEA [8], WENRA [4] a evropských provozovatelů JE [10]).

Tento návod je zaměřen na jaderná zařízení s tlakovodním reaktorem (včetně VVER). 1 Jedná se o iniciační události vzniklé při provozu reaktoru na nominálním výkonu, nebo výkonu sníženém do hodnoty tzv. minimálního kontrolovaného výkonu / minimálního stabilního kontrolovaného stavu a v takových stavech podkritického reaktoru, kdy jsou podle LaP dostupné všechny bezpečnostní systémy (prostředky zařazené do úrovně ochrany do hloubky 3a) tj. v režim 1 – 3 podle LaP JE Temelín a LaP JE Dukovany. Tento režim je dán kombinací požadavků na podkritičnost, teplotu případně tlak v I.O. AOO událost abnormálního provozu (Anticipated Operational Occurrence) AZ aktivní zóna reaktoru BN bezpečnostní návod DAM diverzní a alternativní prostředky (Diverse and Alternative Means) DBA základní projektová nehoda (Design Basis Accident) DBE základní projektová událost (Design Basis Event) DEC rozšířené projektové podmínky (Design Extension Conditions) DEC A rozšířené projektové podmínky bez vážného poškození jaderného paliva DEC B rozšířené projektové podmínky s vážným poškození jaderného paliva havarijní předpisy pro základní projektové nehody (Emergency Operational Procedures) EUR European Utility Requirements IAEA International Atomic Energy Agency I.O. primární okruh chlazení reaktoru II.O. sekundární okruh chlazení reaktoru IU iniciační událost JB jaderná bezpečnost JE jaderná elektrárna JZ jaderné zařízení KTMT kontejnment (system ochranné obálky) LaP limity a podmínky LOCA nehoda s únikem chladiva (Loss Of Coolant Accident) MKV Minimální stabilní kontrolovaný stav / Minimální kontrolovaný výkon NF neutronově-fyzikální OECD- Organisation for Economic Co-operation and Development - Nuclear Energy NEA Agency PIU postulovaná iniciační událost PrBZ provozní bezpečnostní zpráva PSA pravděpodobnostní hodnocení bezpečnosti (probabilistic safety assessment) SKK systémy, konstrukce a komponenty SKŘ systémy kontroly a řízení SÚJB Státní úřad pro jadernou bezpečnost TH termohydraulický United States Nuclear Regulatory Commisison (dozorný orgán v oblasti jaderné bezpečnosti v USA) reaktor chlazený a moderovaný tlakovou vodou “východního” typu (vodo- vodjanoj energetičeckyj reaktor) WENRA Western European Nuclear Regulators Association Poznámka: V této části bezpečnostního návodu jsou definovány pojmy, které nejsou přímo definovány v zákoně č. 263/2016 Sb., atomový zákon [1] a vyhlášce č. 329/2017 Sb., o požadavcích na projekt jaderného zařízení [2], ale jsou v souladu s textem a definicemi uvedenými v zákoně [2] a jeho prováděcích předpisech. Pojmy, které jsou v zákoně [2] a jeho prováděcích předpisech definovány, jsou v tomto bezpečnostním návodu použity ve významu definovaném v legislativních zdrojích. V případě termínů nejčastěji využívaných v tomto dokumentu, je za účelem usnadnění jejich dohledatelnosti uveden odkaz do příslušného legislativního dokumentu. Bezpečnostní analýza: Analýza, která modeluje průběh odezvy jaderné elektrárny nebo její části na postulované iniciační události nebo scénáře vznikající za předem definovaných provozních stavů, prováděná s použitím definovaného souboru předpokladů analýzy a kritérií přijatelnosti. Analýzou se prokazuje splnění kritérií přijatelnosti a tím i stanovených bezpečnostních cílů. Existují dva základní typy analýzy bezpečnosti: deterministická bezpečnostní analýza a pravděpodobnostní hodnocení bezpečnosti. Bezpečnostní systém: § 2 písm. m vyhlášky [2]. Bezpečný stav: § 2 písm. c vyhlášky [2]. Deterministická bezpečnostní analýza: Bezpečnostní analýza modelující odezvu JZ na postulovanou iniciační událost. Pro každou specifickou část analýzy se použije odpovídající soubor předpokladů a kritérií přijatelnosti. Analýzy jsou obvykle zaměřeny na neutronové, termohydraulické, termomechanické, strukturální a radiační aspekty, které jsou analyzovány různými výpočetními nástroji. Výpočty se obvykle provádějí pro předem určená ohrožení („hazards“), provozní režimy a provozní stavy a jim odpovídající iniciační události a scénáře, které zahrnují postulované události abnormálního provozu, postulované základní projektové nehody, vybrané rozšířené projektové podmínky a těžké havárie. Výsledkem výpočtů jsou prostorové a časové průběhy různých fyzikálních veličin (např. neutronový tok, tepelný výkon reaktoru, tlak, teplota, průtok a rychlost primárního chladiva, napětí v konstrukčních materiálech, fyzikální a chemické složení a koncentrace radionuklidů) nebo v případě posouzení radiačních následků též dávky ozáření pracovníků JZ nebo veřejnosti v okolí JZ. Dokumentace bezpečnostní analýzy: Souhrnný dokument obsahující popis vstupů, výstupům, metod, kritérií přijatelnosti apod. bezpečnostní analýzy takovým způsobem, aby byla možná úplná reprodukovatelnost bezpečnostní analýzy a její nezávislé ověření. Tento dokument může být vstupním/podkladovým dokumentem odkazovaným PrBZ. Iniciační událost: § 2 písm. d vyhlášky č. 162/2017 Sb. Kontejnment: Systém ochranné obálky dle § 43 vyhlášky [2]. Kritérium přijatelnosti: § 43 písm. f zákona [2]. Metoda nejlepšího odhadu (Best Estimate): Realistická metoda analýzy, která využívá realistické fyzikální modely, vstupní data a předpoklady analýzy, umožňuje validaci dílčích modelů a v rozumně proveditelném rozsahu i modelu celého JZ a poskytuje realistické predikce odezvy JZ. Metoda nejlepšího odhadu s vyhodnocením neurčitostí: Metoda nejlepšího odhadu doplněná o vyhodnocení neurčitostí výsledků analýzy (s uvážením neurčitostí vstupních parametrů, předpokladů a neurčitostí, souvisejících s modelem a výpočetním programem), umožňující uplatnění konzervativního přístupu k výsledkům analýzy ve smyslu § 3 písm. a) vyhlášky [2]. Minimální stabilní kontrolovaný stav: Stav aktivní zóny, ve kterém začíná nebo přestává její neutronový výkon reagovat na změnu polohy regulačních orgánů. Minimální kontrolovaný výkon: Výkon při dosažení minimálního stabilního kontrolovaného stavu aktivní zóny při dodržení předepsaného postupu. Obálková analýza: Obálkovou analýzou se rozumí analýza, která konzervativním přístupem pokrývá stanovené výsledky analýz procesů, které mají obdobnou příčinu, zadání nebo způsob zvládání, a plní stejné kritérium přijatelnosti. Postulovaná iniciační událost: § 2 písm. 1 vyhlášky [2]. Pravděpodobnostní metoda: Metoda, která oceňuje pravděpodobnost vzniku iniciačních událostí a poruchových scénářů a jejich průběhu, rozvoje a následků. Pravděpodobnostní bezpečnostní analýza: Analýza, která komplexně oceňuje pravděpodobnost vzniku poruchových scénářů a jejich následků. Obvyklým výsledkem analýzy 1.úrovně pravděpodobnostního hodnocení bezpečnosti je určení pravděpodobnosti vážného poškození jaderného paliva a výsledkem analýzy 2.úrovně pravděpodobnostního hodnocení bezpečnosti pravděpodobnost významných úniků radioaktivních látek do okolí jaderné elektrárny, anebo celkového rizika ozáření plynoucího z provozu jaderné elektrárny. Stabilizovaný podkritický stav: § 3 písm. l vyhlášky [2]. Událost: Proces nezamýšlený obsluhou JZ, jehož důsledky jsou nežádoucí z hlediska jaderné bezpečnosti (pojem událost a jeho vymezení vůči pojmu iniciační událost vychází z [2]). Vnější ohrožení (external hazard): Ohrožení, která vznikají vně areálu JZ a jsou buď přírodním ohrožením (ohrožením vyvolávaným událostmi nebo jevy, které se vyskytují v přírodě a u kterých má člověk malou nebo žádnou kontrolu nad jejich vznikem, velikostí nebo četností výskytu), nebo člověkem způsobená ohrožení (ohrožením vyplývajícím z činnosti člověka), mezi které se nezahrnují činy, vyvolané s úmyslem způsobit škodu (malevolentní činy/hrozby). Vnitřní ohrožení (internal hazard): Je takové ohrožení s místem vzniku v areálu JZ, na jehož vznik má nebo může mít přímý vliv provozovatel JZ, a to včetně ohrožení, zatížení a vnitřních iniciačních událostí, vzniklých v jeho důsledku. Základní projektová událost (= DBE): Odezva JZ na PIU AOO a DBA, u které se předpokládá zvládnutí bezpečnostními systémy za konzervativních předpokladů deterministické bezpečnostní analýzy. V celém dokumentu je záměrně u požadavků, jejichž plnění se pokládá za nutné a odpovídá závazným požadavkům právních předpisů, použit jednoduchý tvar přítomného nebo budoucího času (např. „je“, „bude“), čímž je popisován požadovaný stav. Pokud je v dokumentu použita vazba „musí být“ (případně s plnovýznamovým slovesem), jedná se o akcentování požadavku nebo opakování textu legislativy. Pokud je v dokumentu použita vazba „měl by být“ nebo „může být“ (případně s plnovýznamovým slovesem), je popisováno doporučené, ale nikoli jediné vhodné řešení. V celém dokumentu jsou používány z důvodů zavedené praxe zkratky anglických odborných termínů v jednotném čísle. V některých případech je užitím zkratky v jednotném čísle zamýšleno množné číslo vzhledem ke skutečnosti, že význam je jasný z kontextu textu v českém jazyce.

Základním dokumentem, který definuje požadavky na jadernou bezpečnost zajišťovanou provozovatelem JZ je zákon č. 263/2016 Sb., atomový zákon [1]. Dalším hlavním zdrojem pro tento bezpečnostní návod je vyhláška č. 329/2017 Sb., o požadavcích na projekt jaderného zařízení [2].

Požadavky na deterministické bezpečnostní analýzy JZ, ze kterých primárně čerpá tento bezpečnostní návod, jsou zpracovány v dokumentech IAEA SSG-2 [11], SRS-30 [16] a dále v IAEA SSG-2 (Rev.1) [17] (ze kterého tento návod čerpá v omezené míře, např. body 2.7-

, 3.13-3.20, 3.22, 4.5, 6.8, 6.21-6.29, 7.33, 7.35 a 7.36) a to obecně pro široké spektrum typů jaderných reaktorů: Pro reaktory typu VVER jsou specifické požadavky v dokumentu IAEA-

Vybraná doporučení na projektová východiska a pro výběr základních projektových událostí, vč. volby kritérií přijatelnosti a předpokladů použitých v analýzách, jsou zpracována v dokumentu WENRA Safety Reference Levels for Existing Reactors [4] (Issue E).

V obecné rovině se problematice deterministických analýzy DBE a jejich provedení věnuje dokument IAEA Specific Safety Requirements No. SSR-2/1 (Rev.1), Safety of Nuclear Power Plants: Design [8] a návod k tomuto dokumentu TECDOC-1791 Considerations on the Application of the Safety Requirements for Design of Nuclear Power Plants [9].

Požadavky na způsob zpracování deterministických bezpečnostních analýz se stanovují pro stavy JZ odstupňovaným přístupem odpovídajícím závažnosti stavu a riziku radiační mimořádné událostí, která by mohla z nezvládnutí situace v jednotlivých stavech JZ vzniknout. Z tohoto přístupu vycházejí i principy ochrany do hloubky, definované ve vyhlášce [2] v § 6. Přiřazení úrovní ochrany do hloubky k jednotlivým kategoriím stavů JZ a jim přiřazeným iniciačním událostem a scénářům je popsáno v návodu SÚJB [2].

Režimy JZ nejsou legislativou specifikovány a jejich stanovení je součástí projektu JZ. Jedná se o kombinace některých významných provozních parametrů (výkon reaktoru, míra podkritičnosti, teplota v I.O., tlak v I.O. apod.). Tyto režimy jsou definovány např. v LaP konkrétního JZ. Tento návod se zabývá událostmi AOO a DBA, vzniklými při provozu reaktoru v takových režimech, kdy jsou podle LaP dostupné všechny bezpečnostní systémy (např. v režimu 1 – 3 pro EDU a ETE). Při volbě PIU i vstupních parametrů analýzy je nutné uvážit režim JZ, při kterém došlo k PIU.

Stavy JZ jsou definovány v § 2 písm. f a g vyhlášky [2]. Jsou to provozní stavy a havarijní stavy/podmínky. Mezi provozní stavy se řadí normální provoz a abnormální provoz, mezi havarijní podmínky se řadí základní projektové nehody a rozšířené projektové podmínky. Prakticky vyloučené skutečnosti se neřadí mezi stavy JZ. PIU mohou vést ke změně stavu JZ. Stavy jaderného zařízení (dle projektu) Provozní stavy Havarijní podmínky Prakticky Rozšířené projektové podmínky vyloučené Těžké havárie skutečnosti Abnormální Základní Bez vážného Normální (s vážným (podmínky, provoz projektové poškození provoz poškozením stavy) AOO nehody DBA jaderného paliva jaderného paliva)

V souladu se základními bezpečnostními principy IAEA (Fundamental Safety Principles, SF-1 [6]) je základním bezpečnostním cílem chránit osoby (individuálně i kolektivně) a životní prostředí před nežádoucími účinky ionizujícího záření. Bezpečnostní cíle jsou v legislativě ČR specifikovány ve vyhlášce [2] v § 4 Bezpečnostní cíle projektu JZ. Z pohledu zvládání PIU AOO a DBA je klíčové prokázat naplnění požadavků tohoto paragrafu. Schopnost projektu plnit bezpečnostní cíle je prokazována v souladu s vyhláškou [2].

Požadavek na dodržování principů bezpečného využívání jaderné energie a bezpečnostního cíle je zakotven v legislativě ČR. Dle zákona [1] § 49 odst. 1 písm. b je držitel povolení povinen: „zajistit, aby jaderné zařízení od zahájení výstavby až do vyřazení z provozu … plnilo bezpečnostní cíle, bezpečnostní funkce a principy bezpečného využívání jaderné energie …“ V zákoně [1] § 45 odst. 2 jsou stanoveny principy bezpečného využívání jaderné energie pro JZ s jaderným reaktorem. Bezpečnostní funkce zajišťující plnění těchto principů jsou základní bezpečnostní funkce.

V případě DBE lze základní bezpečnostní funkce podle vyhlášky [2], § 2 písm. b) odkazem na zákon [1], shrnout do 3 funkcí: (1) dosažení a dlouhodobé udržení podkritičnosti (§ 45 odst. 2 písm. a, b, c zákona [1]), (2) zajištění odvodu tepla z aktivní zóny reaktoru a z vyhořelého paliva2, (3) zadržení radioaktivních látek.

Zajištění základních bezpečnostních funkcí je v souladu s požadavky § 26 písm. a) vyhlášky [2] prokazováno (v úrovni ochrany do hloubky 3a) pouze automatickými zásahy bezpečnostních systémů, a jejich zásahy iniciovanými pracovníky obsluhy JZ v souladu s havarijními předpisy. Zajištění podkritičnosti

Požadavek na odstavení reaktoru a zajištění dlouhodobé podkritičnosti aktivní zóny po PIU AOO a DBA je specifikován v § 34 [2]. V souladu s tímto požadavkem je možné v rámci bezpečnostních analýz PIU AOO a DBA uvažovat všechny existující bezpečnostní systémy, které jsou určené k zajištění dostatečné podkritičnosti reaktoru v úrovni ochrany do hloubky 3a. Při využití každého systému musí být uvažována nejvíce závažná jednoduchá porucha (např. zaseknutí řídícího orgánu s nejvyšší účinností v horní koncové poloze)3.Na začátku přechodového procesu se obvykle uplatní systém rychlého odstavení reaktoru, případně další bezpečnostní systémy. Jejich zásahem je zajištěno dosažení stabilizovaného podkritického stavu. Následně musí být uplatněny systémy projektem určené k udržení stabilizovaného podkritického stavu a k dosažení bezpečného stavu JZ. Rekritičnost aktivní zóny v období mezi zapůsobením systému rychlého odstavení reaktoru a dosažením stabilizovaného podkritického 2 AOO a DBA v bazénech skladování ozářeného jaderného paliva jsou mimo rozsah působnosti tohoto návodu 3 Navíc k jednoduché poruše bezpečnostního systému s aktivní funkcí, viz více v bodě (6.1). stavu je v rámci probíhajícího přechodového procesu přípustná, pokud jsou dodržena kritéria přijatelnosti, viz kapitola 9. Zajištění odvodu tepla

Projekt JZ je vybaven bezpečnostními systémy havarijního chlazení aktivní zóny a odvodu zbytkového tepla v souladu s požadavky § 38 odst. 1 až 3 a odst. 5 vyhlášky [2].

Úroveň odvodu tepla musí být taková, aby zajistila splnění technických kritérií přijatelnosti pro PIU kategorie AOO nebo DBA. Pro PIU AOO jsou definována přísnější kritéria přijatelnosti, za účelem zachování integrity pokrytí palivových elementů, než technická kritéria pro DBA (v souladu s § 32 odst. 6 písm. a, b vyhlášky [2]), a to s ohledem jejich na vyšší četnost výskytu.

Pro obě kategorie událostí musí být zajištěn odvod tepla tak, aby během těchto událostí nedošlo k vážnému poškození jaderného paliva, k poškození jeho pokrytí a k nepřijatelným změnám geometrie palivových elementů a palivového systému (v souladu s požadavky § 32 odst. 2, 5 a 6 vyhlášky [2]) a dále, aby nedošlo k nepřijatelnému zvýšení tlaku I.O. (v souladu s § 38 odst. 5 a § 37 odst. 2 vyhlášky [2]) a II.O. (v souladu s § 46 písm. a vyhlášky [2]). Zadržení radioaktivních látek

Zadržení radioaktivních látek je v projektu zajištěno sérií vzájemně se zálohujících fyzických bariér, vložených mezi radioaktivní látku a životní prostředí. Úlohu fyzických bezpečnostních bariér u JZ s jaderným reaktorem zajišťují: pokrytí palivových elementů, tlaková hranice primárního okruhu a systém ochranné obálky (§ 6 odst. 1 a 2 vyhlášky [2]). Neporušení (udržení funkce) jednotlivých fyzických bariér (s výjimkou bariér porušených samotnou PIU) se v deterministických bezpečnostních analýzách DBE prokazuje splněním odpovídajících radiačních a technických kritérií přijatelnosti.

V deterministických bezpečnostních analýzách DBE (v rámci působnosti tohoto návodu, viz bod (1.3) a (1.4)) se předpokládá, že KTMT je při vzniku PIU a v průběhu jejího rozvoje hermeticky uzavřen. Udržení projektem stanovené těsnosti KTMT musí být (v souladu s § 43 odst. 3 a 4 vyhlášky [2]) prokázáno během rozvoje všech DBE, při kterých je KTMT vystaven tlakovému a teplotnímu namáhání (např. velká LOCA) nebo dochází k úniku radioaktivních látek z I.O. KTMT je chráněn proti ztrátě základní bezpečnostní funkce působením přetlaku systémem řízení tlaku a teploty (v souladu s požadavkem § 43 vyhlášky [2]).

Na základě principů bezpečného využívání jaderné energie specifikovaných v § 45 zákona [1] jsou jaderná bezpečnost, radiační ochrana, monitorování radiační situace, zvládání radiační mimořádné události a zabezpečení JZ zajištěny ochranou do hloubky. Uplatnění principu ochrany do hloubky je v legislativě ČR rozpracováno ve vyhlášce [2] v § 6 a § 7 a detailně popsáno také v návodě [14].

Koncepce ochrany do hloubky se opírá o použití několika zálohujících se fyzických bariér proti úniku radionuklidů a o zabezpečení integrity a účinnosti těchto bariér systémem vzájemně nezávislých a zálohujících se technických a organizačních opatření uspořádaných do jednotlivých úrovní ochrany do hloubky.

V následující tabulce jsou uvedeny základní charakteristiky jednotlivých úrovní ochrany do hloubky: Úroveň Základní prostředky pro Základní opatření Cíl ochrany dosažení cíle pro dosažení cíle Provozní pravidla a Konzervativní4 rysy projektu a vysoká vnitřní předpisy pro Předcházení odchylkám od kvalita systémů pro normální provoz, normální provoz 1 normálního provozu, včetně SKŘ, provozní systémy včetně (v souladu předcházení poruchám měřících a řídících systémů s požadavky vyhlášky č. 21/2017 Sb.) Vnitřní předpisy pro abnormální provoz, Limitační systémy, ochrany provozních Zvládání abnormálního provozu havarijní předpisy (v 2 systémů a jiné informační a ovládací (AOO) a identifikace poruch souladu s požadavky prostředky vyhlášky č. 21/2017 Sb.) Havarijní předpisy (v Zvládaní základních souladu s požadavky 3a Bezpečnostní systémy projektových události (DBE)5 vyhlášky č. 21/2017 Sb.), EOP Prostředky z překonaných úrovní Havarijní předpisy (v Zvládání DEC A bez vážného ochrany do hloubky (v souladu souladu s požadavky 3b poškození jaderného paliva s požadavky § 7 odst. 3 vyhlášky [2]) a vyhlášky č. 21/2017 (prevence vzniku těžké havárie) prostředky DAM pro zvládání DEC A Sb.), EOP Prostředky z překonaných úrovní Návody pro zvládání Zvládání DEC B s vážným ochrany do hloubky (v souladu těžkých havárií (v poškozením jaderného paliva 4 s požadavky § 7 vyhlášky [2]) a souladu s požadavky (zmírňování následků těžké prostředky DAM pro zvládání DEC B; vyhlášky č. 21/2017) havárie) technické podpůrné středisko Sb.) SAMG Zmírňování radiačních následků Prostředky pro zajištění odezvy na Vnitřní a vnější 5 úniků radioaktivních látek do radiační mimořádnou událost. havarijní plány životního prostředí 4 „Konzervativním“ se v tomto návodu rozumí stanovené konzervativním přístupem v souladu s § 3 písm. a) vyhlášky [2]. 5 DBE = události AOO + DBA jen s použitím bezpečnostních systémů

Analýzy zvládání PIU AOO a DBA pomocí bezpečnostních systémů zařazených do úrovně ochrany do hloubky 3a se řeší stejnými metodami, ačkoli četnosti výskytu PIU AOO a PIU DBA jsou různé a tedy i kritéria přijatelnosti pro jejich následky se z důvodu uplatnění optimalizace radiační ochrany liší (v souladu s § 3 odst. 1 písm. c a § 60 odst. 2 písm. b zákona [2]).

Jednotný přístup k analýzám těchto kategorií PIU vychází ze základního předpokladu pro úroveň ochrany do hloubky 3a, že SKK použité ke zvládání těchto událostí jsou kvalifikovány na prostředí a navrženy na parametry ohrožení, odpovídající podmínkám při AOO a základních projektových nehodách, a mají způsobem zálohování a zajištěním kvality zaručenu vysokou spolehlivost. Výběr PIU pak umožňuje předpokládat pouze jednoduché PIU (a věrohodné kombinace PIU viz bod (5.3)) a pro dosažení potřebné spolehlivosti vyžadovat zálohování při plnění kritéria jednoduché poruchy u zasahujících bezpečnostních systémů (v souladu s § 20 a § 26 vyhlášky [2]).

S využitím deterministických a pravděpodobnostních metod nebo jejich kombinací a s pomocí technického úsudku je sestaven seznam PIU kategorií AOO a DBA pro průkaz bezpečnosti projektu (§ 20 vyhlášky [2]). Jedná se o PIU, které mohou nahodile vzniknout při provozu JZ (např. zaseknutí ventilu v otevřené poloze nebo porušení integrity potrubí), mohou být způsobeny činností pracovníků obsluhy (např. chybné zavezení palivového elementu), nebo mohou vzniknout v důsledku vnitřního nebo vnějšího ohrožení s parametry (intenzitou), nepřevyšujícími intenzitu stanovenou v základních projektových východiscích (v souladu s § 11 vyhlášky [2]), ale ovlivňujícími provozní systémy (např. výpadek turbíny způsobený změnou frekvence sítě v důsledku nepříznivých povětrnostních podmínek).

Při výběru PIU se berou v úvahu také provozní zkušenosti a mezinárodní zpětná vazba, jak z oblasti provozu JZ, tak z jiných relevantních oborů. Je možné využít doporučené seznamy PIU z dokumentů mezinárodně uznávaných organizací (IAEA, US NRC, WENRA, EUR, OECD-NEA, apod.), ale tyto seznamy musí být přizpůsobeny pro konkrétní JZ a revidovány s využitím deterministických a pravděpodobnostních metod.

Pro potřebu výběru PIU se za PIU považují také věrohodné kombinace IU, včetně vnitřních a vnějších ohrožení, které by mohly vést k AOO nebo DBA. Pro výběr kombinací událostí lze použít deterministické a pravděpodobnostní hodnocení, jakož i technický úsudek. Pro takto zvolené PIU opět platí požadavky na četnost výskytu podle § 22 odst. 4 vyhlášky [2] (v souladu s § 11 odst. 3, § 20 odst. 4 vyhlášky [2] a bodem E 6.1 dokumentu [5]).

Dle § 22 odst. 4 vyhlášky [2] je provedena kategorizace PIU pro všechny stavy JZ s ohledem na předpokládanou četnost jejich výskytu a optimalizaci radiační ochrany.

V následujících tabulkách jsou uvedena doporučená pásma četnosti výskytu PIU odpovídající kategoriím stavů JZ v souladu s § 22 odst. 4 vyhlášky [2] a porovnány s hodnotami doporučenými v [9] a ve [2]. Stavy jaderného zařízení Provozní stavy Havarijní podmínky Normální Abnormální Základní projektové nehody Rozšířené projektové podmínky (DEC) provoz provoz (AOO) (DBA)

odst. 4 vyhlášky [2]: Četnosti výskytu skupin PIU Střední

• Vysoká četnost Nízká četnost Velmi nízká četnost
četnost nižší než 1 × několik / více nižší než 1 × za dobu Nižší než 1 × za 100 násobek doby
než 1 rok 10 let životnosti JZ životnosti JZ (10 000 let) (100 let) TECDOC-1791 [9]: Referenční indikativní frekvence výskytu událostí [1/reaktor-rok] Design extension Design Anticipated Normal conditions without extension operational Design basis accidents operation significant fuel conditions with occurrences degradation core melt
• > 10-2 < 10-2 ÷ 10-6 10-4 ÷ 10-6 <10-6
kategorie události podle ANSI/ANS 51.1-1983 [2]

PIU, vybrané podle odstavců (5.1) – (5.3), mohou být zařazeny do skupin podle mechanizmu vzniku PIU nebo podle dominantních procesů a fyzikálních jevů, které probíhají po vzniku PIU. Účelem seskupení je mimo jiné: (1) zdůvodnění zvoleného seznamu uvažovaných PIU a vyhodnocení jeho úplnosti a komplexnosti, (2) omezení počtu analyzovaných PIU použitím obálkových analýz (obálkových analýz PIU), (3) použití specifických kritérií přijatelnosti, vhodných pro konkrétní skupinu analýz PIU (např. analýzy PIU s vnosem reaktivity).

Pokud je provedena obálková analýza pro určitou skupinu analýz PIU, pak je součástí hodnocení bezpečnosti i ohodnocení konzervativnosti zvolené obálkové analýzy skupiny PIU z hlediska plnění všech relevantních kritérií přijatelnosti. Např. je možné prokázat plnění kritéria přijatelnosti pro radiační následky skupiny analýz PIU obálkovou analýzou. Pro všechny analýzy PIU ze skupiny, pro kterou je tato varianta využita, musí být prokázáno, že by došlo k menšímu nebo maximálně stejnému poškození jaderného paliva, a tedy k menšímu nebo stejnému úniku radionuklidů, než je tomu v obálkové analýze.

Skupiny analýz PIU, zvolené podle dominantních procesů u reaktorů tlakovodní reaktory (vč. VVER) mohou být následující: (1) Zvýšení odvodu tepla II. O., (2) Snížení odvodu tepla II. O., (3) Snížení průtoku chladiva I. O., (4) Anomálie reaktivity a distribuce výkonu, (5) Zvýšení množství chladiva v I. O., (6) Snížení množství chladiva v I. O., (7) Úniky radioaktivních látek ze subsystémů nebo komponent.

Analýzy kombinace PIU podle odstavce (5.3) by měly být zařazeny do některé ze skupin s ohledem na dominantní procesy a fyzikální jevy probíhající po vzniku PIU. Analýza kombinace PIU může být využita také jako obálková pro jednotlivé události, pokud je kombinace konzervativní z hlediska vstupních předpokladů a prokázání plnění všech hodnocených kritérií přijatelnosti.

Základní principy při výběru nebo tvorbě metodiky pro provádění deterministických bezpečnostních analýz DBE s využitím bezpečnostních systémů (prostředků 3a úrovně ochrany do hloubky) jsou následující: (1) Je využit konzervativní přístup k analýze. Konzervativní přístup je definován v § 3 písm. a)vyhlášky [2] následujícím způsobem „Pro účely této vyhlášky se dále rozumí konzervativním přístupem způsob posuzování vlivu neurčitostí znalostí, vstupních dat, použitých metod a modelů odborným odhadem nebo statistickým vyhodnocením výsledku tak, že výsledek hodnocení posuzované položky zahrnuje též jeho nejméně příznivé věrohodné varianty“. Pojem konzervativního přístupu je v české legislativě tedy obecnější, než např. v dokumentu [2] v tabulce „TABLE 3“, resp. [2] „TABLE 1“ a to z důvodu, že musí být ve stejném významu použitelný nejen pro TH analýzy DBE, ale i pro další deterministické bezpečnostní analýzy prováděné pro JZ v rámci průkazu, předkládaného Provozní bezpečnostní zprávou (např. pevnostní analýzy SKK). Z tohoto důvodu lze za konzervativní metodu, plně v souladu s definicí z vyhlášky [2], považovat i metodu nejlepšího odhadu s oceněním neurčitostí. (2) Jsou vyhodnoceny relevantní neurčitosti vstupních parametrů, použitých modelů, korelací a dalších předpokladů na výsledky analýzy (v souladu s § 24 odst. 6 vyhlášky [2], viz dále (6.3)). (3) Je zohledněn výskyt nejzávažnější jednoduché poruchy bezpečnostního systému s aktivní funkcí při vzniku požadavku na jeho funkci nebo SKK bezpečnostního systému s pasivní bezpečnostní funkcí zařazeného do bezpečnostní třídy 2 nebo 3 (ve smyslu přílohy č. 1 vyhlášky [2]) pokud není selhání tohoto SKK s pasivní bezpečnostní funkcí prakticky vyloučeno (v souladu s § 26 písm. b vyhlášky [2]) včetně selhání všech dalších SKK bezpečnostních systémů, které vzniknou jako důsledek tohoto selhání bezpečnostního systému. (4) Při odstavení reaktoru je uvažováno zaseknutí jednoho regulačního orgánu s nejvyšší účinností v horní koncové poloze (navíc k jednoduché poruše bezpečnostního systému). (5) Je uvažován výskyt ztráty pracovních a rezervních zdrojů elektrického napájení v čase (určeném citlivostní analýzou nebo inženýrským posouzením), kdy je to z pohledu výsledků analýzy nejméně příznivé. Pokud by výskyt ztráty pracovních a rezervních zdrojů elektrického napájení zlepšil výsledky analýzy, tak konzervativně není uvažován.

Deterministické bezpečnostní analýzy DBE jsou provedeny ověřenými metodami (ve smyslu požadavků § 5 vyhlášky [2]) a výpočetními programy. Modelování průběhu události a výpočet hodnocených parametrů s cílem vyhodnotit splnění kritérií přijatelnosti je možné provádět různými na sebe navazujícími metodami a výpočetními programy. Obvykle se výpočet dělí na výpočet vlivu důsledků PIU na stav fyzických bezpečnostních bariér, na výpočet úniku radioaktivních látek do ochranné obálky, jejich šíření, zachycení a úniky z ochranné obálky (vznik zdrojového členu) a na výpočet šíření radionuklidů do životního prostředí a jeho radiační důsledky. Rozhraními mezi metodami mohou být technická kritéria přijatelnosti. Toto rozdělení procesu výpočtu obvykle také umožňuje větší využití obálkových analýz pro výpočet zdrojových členů úniku radionuklidů, jejich šíření a stanovení radiačních následků pro více skupin DBE.

U deterministických bezpečnostních analýz DBE jsou hodnoceny vlivy neurčitostí vstupních dat a předpokladů, modelu a výpočetního programu na její výsledek. Tyto neurčitosti a jejich vliv mohou být stanoveny a vyhodnoceny: (1) citlivostními analýzami vlivu vstupních dat, (2) citlivostními analýzami na základě statistických metod, (3) validačními výpočty s využitím experimentálních dat, (4) inženýrským úsudkem (včetně konzervativní volby vstupních dat a předpokladů pro modelování), (5) na základě výsledků pravděpodobnostní studie (stanovení dostupnosti systémů pro metodu nejlepšího odhadu).

Metody nejlepšího odhadu s oceněním neurčitostí jsou založeny na použití realistických (best estimate) výpočetních programů, vhodné kombinace realistických a konzervativních vstupních parametrů a předpokladů (viz (7.6) a (7.7)) a postupu pro vyhodnocení (kvantifikaci) neurčitosti výsledků. Neurčitost výsledků může být stanovena na základě propagace vstupních neurčitostí (např. pomocí statistických metod a opakovaných výpočtů zkoumané události s vhodně zvolenými kombinacemi vstupních parametrů), na základě extrapolace výstupních neurčitostí (extrapolace neurčitostí z výpočtů průběhu fyzikálních hodnot vhodných experimentů do bezpečnostní analýzy JZ) nebo jinou ověřenou metodou. [2]

Při použití metody nejlepšího odhadu s oceněním neurčitostí pomocí propagace vstupních neurčitostí je důležitý výběr nejdůležitějších jevů a vstupních parametrů (z hlediska typu analyzované události). Z hlediska vnosu neurčitostí do výpočtu se vstupní parametry obvykle dělí na vnitřní (korelace a modely výpočetního programu apod.) a vnější (počáteční a okrajové podmínky výpočtu jako počáteční výkon, zbytkové teplo, charakteristiky čerpadel apod.). U vybraných vnitřních i vnějších neurčitých vstupních parametrů je třeba zajistit věrohodnou volbu intervalu výskytu hodnoty parametru a rozložení výskytu jeho hodnoty v tomto intervalu (dále viz (7.7)).

Nedílnou součástí analýzy DBE, použité jako průkaz bezpečnosti v PrBZ, je stanovení radiačních následků možné radiační nehody nebo radiační havárie.

Deterministické bezpečnostní analýzy DBE určí konkrétní hodnoty fyzikálních parametrů JZ při dosažení stabilizovaného podkritického stavu nebo bezpečného stavu (pokud nedochází během události k zásahu bezpečnostních systémů) a požadavky na dobu trvání funkce potřebných bezpečnostních systémů. Tam, kde je to aplikovatelné, stanoví dobu, po kterou musí SKK být v provozu pro zajištění základních bezpečnostních funkcí a pro dosažení požadovaného bezpečného stavu JZ (ten je definovaný v § 2 písm. c vyhlášky [2]).

Deterministické bezpečnostní analýzy DBE jsou provedeny a dokumentovány tak, aby jejich výsledky byly ověřitelné, což je obecný požadavek na zpracování a prezentování bezpečnostních analýz (v souladu s § 4 a § 5 vyhlášky [18]). Pokud je v analýze využit inženýrský úsudek, musí být postup hodnocení této části analýzy dostatečně detailně popsán, aby bylo možné jeho ověření (např. nezávislým hodnocením).

Deterministické bezpečnostní analýzy DBE použité v PrBZ podléhají programu systému řízení dle vyhlášky [18] a musí být v souladu s § 8 této vyhlášky v přiměřeném rozsahu nezávisle ověřeny. Doporučený rozsah je následující: (1) Deterministické bezpečnostní analýzy DBE přímo prokazující v PrBZ plnění kritérií přijatelnosti pro radiační důsledky DBE (od výpočtu úniku z ochranné obálky / zdrojového členu) by měly být nezávisle ověřeny výpočtem. Pro toto nezávislé ověření je použit model vytvořený nezávisle na modelu použitém pro provedení analýz, předkládaných v PrBZ. Nezávislé ověření výpočtem je provedeno pracovníkem nebo skupinou pracovníků, kteří se nepodíleli na tvorbě modelu a výpočtech, použitých pro analýzy předkládané v PrBZ. (2) Deterministické bezpečnostní analýzy obálkových událostí nebo událostí s nejméně příznivými výsledky v každé skupině DBE, předkládané v PrBZ, by měly být nezávisle ověřeny výpočtem pomocí modelu odlišného od modelu použitého pro provedení analýz předkládaných v PrBZ výpočtem, provedeným pracovníkem nebo skupinou pracovníků, která se nepodílela na tvorbě modelu, použitého pro provedení analýz předkládaných v PrBZ. (3) Všechny ostatní deterministické bezpečnostní analýzy DBE by měly být ověřeny minimálně nezávislým inženýrským posouzením výpočtu a jeho výsledků pracovníkem nebo skupinou pracovníků, která se nepodílela na provedení analýz, předkládaných v PrBZ.

Při zpracování deterministické bezpečnostní analýzy je využívána celá řada vstupních parametrů a předpokladů, které mohou zásadně ovlivňovat výsledné hodnocení plnění relevantních kritérií přijatelnosti. Vstupní parametry a předpoklady jsou obvykle členěny do následujících hlavních skupin: (1) Vlastnosti zařízení (vstupní data pro vytvoření výpočetního modelu JZ). (2) Počáteční podmínky. a. Výchozí režim bloku, b. základní TH parametry I. O. a II. O. (případně i ochranné obálky, systémů havarijního chlazení AZ a dalších systémů JZ) a c. parametry AZ. i. NF parametry, ii. parametry rozložení výkonu v AZ, iii. zbytkový výkon a iv. inventář štěpných produktů v palivu. (3) Okrajové podmínky a další předpoklady. a. Nastavení a charakteristiky SKK (včetně SKŘ), zařazených do úrovně ochrany do hloubky 3a, b. zásahy pracovníků obsluhy JZ a c. předpoklady o činnostech SKK, nezařazených do úrovně ochrany do hloubky 3a v souladu s bodem (7.9).

Konkrétní hodnoty jednotlivých vstupních parametrů a předpokladů jsou zvoleny v souladu s metodou analýzy a tak, aby byly splněny požadavky na uplatnění konzervativního přístupu uvedené v bodě (6.1). Při analýzách jednotlivých PIU musí být buď provedena citlivostní analýza, nebo uplatněny požadavky spojené s jinou zvolenou metodikou tak, aby bylo zajištěno plnění požadavku na konzervativní přístup, tj. využití nejméně příznivých věrohodných vstupních parametrů a předpokladů z hlediska plnění relevantního kritéria přijatelnosti.

Pro postulovanou iniciační událost, ke které se váže více kritérií přijatelnosti, určených k ochraně odlišných fyzických bezpečnostních bariér (např. kritérium přijatelnosti pro minimální rezervu do krize varu a kritérium přijatelnosti pro tlak v I. O.) nebo více kritérií přijatelnosti k ochraně jedné fyzické bariéry, jejichž současné ohrožení je fyzikálně vyloučené (např. kritérium pro maximální teplotu v ochranné obálce a maximální podtlak v ochranné obálce), je nezbytné provést samostatně několik nezávislých bezpečnostních analýz tak, aby splnění každého kritéria přijatelnosti bylo vyhodnoceno při uplatnění odpovídajících konzervativních vstupních parametrů a předpokladů.

Proces přípravy vstupních parametrů a předpokladů pro bezpečnostní analýzy podléhá programu systému řízení.

Pro každou PIU bude analyzován takový věrohodný výchozí režim bloku a stav kampaně (mimo odstavených stavů, které nejsou předmětem tohoto návodu), který je nejméně příznivý z pohledu hodnocených kritérií přijatelnosti.

Přístupy k určení počátečních hodnot hlavních TH parametrů bloku a k nastavení hodnot v modelech SKK, používaných pro bezpečnostní analýzy DBE, mohou být následující: (1) Použití metody nejlepšího odhadu s vyhodnocením vlivu neurčitostí se analyzují hodnoty z intervalu vstupních dat pro uvažovaný provozní stav zároveň s konzervativním oceněním vlivu jeho neurčitosti, viz (7.7) (v [17] „TABLE 1“ jako Option 3), (2) Použití konzervativních předpokladů, kdy jsou zvoleny nejméně příznivé hodnoty parametrů z intervalu vstupních dat povoleného pro uvažovaný provozní stav (nejméně příznivé z pohledu vyhodnocovaného kritéria přijatelnosti). V případě potřeby se provede výběr nejméně příznivých hodnot s pomocí citlivostních výpočtů (v [17] „TABLE 1“ jako Option 2).

V případě, že je použita metoda nejlepšího odhadu s vyhodnocením neurčitosti založená na propagaci vstupních neurčitostí (viz 6.4), je pro vybrané vstupní parametry6, jejichž hodnota není přesně známa, určen interval (pásmo) věrohodného výskytu hodnoty vstupního parametru a rozložení výskytu jeho hodnoty v určeném pásmu. Tento interval a rozložení jsou zvoleny (v rámci zvolené metody nejlepšího odhadu s vyhodnocením neurčitosti a vč. zvoleného výpočetního programu) preferovaně pomocí dat ze separátních experimentů vhodného typu (např. experimentální měření krize varu), na základě provozních měření nebo, při nedostatku informací, odborným odhadem s uplatněním konzervativního přístupu. Vstupní parametry mohou, ale i nemusí, být na sobě zcela nezávislé a některé kombinace vstupních parametrů mohou být fyzikálně vyloučené (závislost či nezávislost je dána fyzikální podstatou parametrů). Proto je vyhodnocena míra vzájemné závislosti vstupních parametrů. Konkrétní hodnota jednotlivého vstupního parametru je pro potřeby výpočtu zvolena náhodně v souladu se stanoveným rozložením jeho hodnot na stanoveném intervalu (závislost či nezávislost je dána fyzikální podstatou parametrů). Jako vstup pro jednotlivý výpočet je zvolena uspořádaná množina těchto náhodně zvolených vstupních parametrů, respektující vzájemné závislosti těchto vstupních parametrů.

V případě deterministických bezpečnostních analýz DBE, prováděných podle tohoto návodu, se předpokládá, že pro zvládnutí PIU jsou použity jen bezpečnostní systémy. Jedná se o SKK, které plní své bezpečnostní funkce jen v úrovni 3a (např. bezpečnostní systémy) a o SKK, které plní své bezpečnostní funkce ve více úrovních ochrany do hloubky do úrovně 3a včetně (např. tlakové rozhraní primárního okruhu, systémy zajištěného elektrického napájení). Analýzami prokazujícími dostupnost, výkonnosti a spolehlivosti bezpečnostních systémů se tento návod nezabývá.

V čase vzniku PIU se uvažuje JZ v normálním provozu v takové dovolené (v souladu s LaP) konfiguraci provozovaných SKK, která je nejméně příznivá z hlediska na výsledků 6 Mezi vybrané vstupní parametry jsou zařazeny jak měřené fyzikální veličiny konkrétního JZ (výkon reaktoru, teplota ve smyčkách apod.) tak koeficienty korelací, vhodných pro modelování fyzikálních jevů, významných při přechodovém procesu. Výběr uvedených vstupních parametrů musí být zdůvodněn. Při volbě jsou uváženy a rozlišovány vnitřní a vnější parametry neurčitosti. analýzy, tzn. počáteční konfigurace provozovaných SKK je zvolena konzervativně. Tyto SKK zůstávají v provozu, pokud nejsou vypnuty v důsledku zásahu bezpečnostních systémů, zásahem operátora v souladu s havarijními předpisy nebo jejich provoz není znemožněn (např. v důsledku ztráty pracovních a rezervních zdrojů napájení). Vykonávání aktivních funkcí ostatních SKK, které nejsou bezpečnostními systémy, je uvažováno, pouze pokud zhoršuje průběh přechodového procesu při zvládání PIU. Zásahy ostatních SKK, nezařazených do úrovně ochrany do hloubky 3a, jsou uvažovány, pouze pokud zhoršují průběh přechodového procesu při zvládání PIU.

Spolehlivé zajištění projektového výkonu bezpečnostních systémů musí být stanoveno projektem a jemu odpovídajícími provozními předpisy. Pro každou aktivní bezpečnostní funkci bezpečnostních systémů platí: v souladu s požadavkem na uplatnění kritéria jednoduché poruchy (podle bodu (6.1)) a požadavkem na možnost odstavení jedné divize za provozu JZ za účelem odstranění poruchy opravou, je v analýzách systémů uvažováno zapůsobení pouze tolika divizí, kolik jich zbyde po vyřazení dvou divizí bezpečnostních systémů (n-2). U systémů se zálohováním na 3 x 100 % projektového výkonu se tedy uvažuje výkon pouze jedné divize, u zálohování 4 x 50% výkon dvou divizí, atd. Uvažuje-li projekt u některých systémů průběžnou údržbu za provozu, musí být zálohování těchto systémů navýšeno o jednu divizi, tedy na 4 x 100 % nebo 5 x 50 % atd. U bezpečnostních systémů s pasivní funkcí mohou být požadavky na zálohování nižší.

V analýze, kdy k nejnepříznivějším výsledkům vede činnost všech divizí bezpečnostních systémů, je třeba uvažovat maximálně efektivní činnost všech divizí.

Mezní nastavení hodnot parametrů ochranných systémů pro automatické spouštění výkonných bezpečnostních systémů (setpointů), používaných pro zajištění bezpečnostních funkcí v deterministických bezpečnostních analýzách DBE (jako předpoklady bezpečnostních analýz, v souladu s LaP) je uvedeno v dokumentaci bezpečnostní analýzy (viz. kapitola 10) společně s hodnotou použitou pro analýzu a zdůvodněním této hodnoty. Konkrétní hodnoty nastavení ochranných systémů v analýze jsou stanoveny konzervativním přístupem.

Charakteristiky výkonných bezpečnostních systémů jsou zvoleny konzervativně.

Zásah pracovníků obsluhy je uvažován nejdříve po 30 minutách od času, kdy je možná jednoznačná identifikace stavu, popisovaného v havarijních předpisech (symptomově orientované havarijní předpisy). Pokud je zásah pracovníků obsluhy nezbytný dříve, je takový případ odůvodněn analýzou proveditelnosti zásahu, dále je dostatečně popsán v havarijních předpisech a obsluha je k tomuto zásahu vycvičena se zvláštním důrazem na časový požadavek.

Jsou uvažovány pouze takové zásahy pracovníků obsluhy, které jsou jednoznačně popsány v havarijních předpisech a ke kterým jsou pracovníci obsluhy vycvičeni, a to až do doby dosažení bezpečného stavu.

Předpoklady o časech zásahů pracovníků obsluhy jsou provedeny na základě výpočetní analýzy a informací získaných z výcviku pracovníků na plnorozsahovém trenažéru.

Při provádění deterministických bezpečnostních analýz DBE by měly být přednostně použity realistické (best estimate) výpočetní programy. Výpočetní prostředky musí být dokumentovaným způsobem verifikovány a validovány (vůči datům z vhodných experimentů na experimentálních zařízeních nebo z provozu JZ) s cílem prokázat jejich vhodnost a vyhovující přesnost pro danou oblast použití a dále s cílem minimalizovat vliv uživatele (user effect). Používané výpočetní programy musí odpovídat dosažené úrovni poznání v příslušné oblasti.

Stručný popis výpočetního programu a výpočtového modelu bude součástí bezpečnostní analýzy.

Využití tzv. „výpočetních programů konzervativního typu“ (computer code type – conservative podle [11] a [17] část 2) není doporučeno z důvodu rizika predikce nefyzikálních výsledků výpočtů a z důvodů zastarávání těchto výpočetních programů. Tyto výpočetní programy mohou být využity jen ve zvláště odůvodněných případech (např. neexistence nebo nedostupnost vhodného realistického výpočetního programu, velké projektové rezervy apod.) a pokud jsou doplněny vhodnými citlivostními výpočty.

Průkaz bezpečnosti JZ je prostřednictvím bezpečnostních analýz obvykle prováděn ve dvou rovinách. Je prokazováno plnění: (1) Deterministických cílů, které se v technické praxi prokazují vyhodnocením splnění (nepřekročení) mezních hodnot vybraných parametrů nebo podmínek (kritérií přijatelnosti), pro které je prokázáno zachování jednotlivých bariér ochrany do hloubky a výsledně i splnění radiačních kritérií přijatelnosti a zajištění základních bezpečnostních funkcí. (2) Pravděpodobnostních cílů, které se v technické praxi provádí vyhodnocením dosažení mezních hodnot četností výskytu vybraných následků nehody (např. core damage frequency - CDF a large early release frequency – LERF, viz návod [2]).

Radiační následky PIU (AOO a DBA) musí v souladu s požadavky vyhlášky [3] splňovat odpovídající radiační kritérium přijatelnosti uvedené v Příloze č. 1 tohoto návodu.

Pro konkrétní typy reaktorů budou v návaznosti na stanovené bezpečnostní cíle projektem stanovena vhodná technická kritéria přijatelnosti tak, aby při jejich dodržení byly zajištěny základní bezpečnostní funkce a zachována integrita jednotlivých fyzických bariér ochrany do hloubky (jaderného paliva, pokrytí palivových elementů, tlakové hranice primárního a bezpečnostně důležité části sekundárního okruhu a ochranné obálky).

Kritéria přijatelnosti pro deterministické bezpečnostní analýzy jsou stanovena pro jednotlivé kategorie (ve smyslu bodu (5.5)) a skupiny iniciačních událostí (ve smyslu bodu

) a mohou odpovídat frekvenci výskytu dané IU v souladu s principem optimalizace radiační ochrany a požadavky § 22 vyhlášky [2]. Přísnější kritéria jsou stanovena pro události s vyšší četností výskytu. Kritéria přijatelnosti (s výjimkou kritérií pro radiační následky) jsou stanovena projektem (případně provozovatelem) jaderné elektrárny v souladu s požadavky legislativy a jsou projednána se SÚJB v rámci hodnocení dokumentace, předložené jako podklady k žádosti o povolení dané činnosti.

V souladu s § 22 odst. 2 (a § 30 odst. 5 a § 32 odst. 5) vyhlášky [2] musí být v rámci projektu JZ stanovena kritéria přijatelnosti. Tato kritéria přijatelnosti zajišťují plnění požadavků na minimalizaci radiačních následků PIU a na udržení bezpečnostní funkce fyzických bariér ochrany do hloubky.

Kritéria přijatelnosti pro radiační následky PIU stanovuje SÚJB na základě požadavků vyhlášky [2]. Konkrétní hodnoty těchto kritérií přijatelnosti pro deterministické bezpečnostní analýzy DBE jsou uvedeny v Příloze č. 1 tohoto BN.

Technická kritéria přijatelnosti, reprezentující přijatelnou úroveň zachování shody s technickou specifikací stanovenou projektem (stav integrity jednotlivých komponent a jejich dílů fyzických bariér), mohou mít stanovené pásmo neurčitosti (tolerance), v němž se kritérium přijatelnosti považuje za splněné. Toto pásmo pro technická kritéria přijatelnosti stanoví projekt.7

Soubor technických kritérií přijatelnosti pro deterministické bezpečnostní analýzy DBE, vztažený k udržení bezpečnostní funkce fyzických bariér by měl obsahovat pro konkrétní projekt relevantní část níže uvedených kritérií: (1) kritéria pro zajištění celistvosti (integrity) jaderného paliva: maximální teplota paliva, maximální radiálně středovaná entalpie paliva (obě hodnoty v závislosti na vyhoření jaderného paliva a na konkrétním izotopickém složení palivové matrice), (2) kritéria pro zajištění celistvosti (integrity) pokrytí palivových elementů: maximální teplota pokrytí paliva, maximální lokální oxidace pokrytí paliva, minimální rezerva do krize varu (splnění posledního kritéria je závazné pro deterministické bezpečnostní analýzy PIU AOO), (3) kritéria pro zajištění celistvosti (integrity) aktivní zóny jako celku a udržení její chladitelné geometrie: maximální množství vzniklého vodíku z oxidace všech (zirkoniových) materiálů v aktivní zóně, maximální počet porušených palivových elementů v aktivní zóně, maximální deformace palivových souborů, (4) kritéria pro zajištění celistvosti (integrity) primárního okruhu: maximální tlak a maximální-minimální teplota chladiva, tlakové a teplotní změny a vyvolaná napětí v tlakové hranici primárního okruhu, (5) kritéria pro zajištění celistvosti (integrity) bezpečnostně významné části sekundárního okruhu: maximální tlaky, maximální teploty medií, tlakové a teplotní změny v zařízeních sekundárního okruhu, (6) kritéria pro zajištění celistvosti (integrity) ochranné obálky (KTMT) a limitování úniků do okolí: maximální a minimální tlak, maximální teplota, velikost úniků, koncentrace hořlavých/výbušných plynů, vyhovující prostředí pro požadovanou činnost systémů. Dle § 43 odst. 4 vyhlášky [2] je doplněno kritérium přípustných deformací konstrukce ochranné obálky, (7) kritérium pro dlouhodobé zajištění podkritičnosti aktivní zóny reaktoru.

Konkrétní hodnoty technických kritérií přijatelnosti stanoví projekt, případně provozovatel JZ8 v souladu s projektem (odpovídajícími kapitolami PrBZ) a s ohledem na zajištění dostatečné bezpečnostní rezervy9 mezi technickým kritériem přijatelnosti a bezpečnostním limitem pro porušení bariéry proti úniku radioaktivní látky. 7 Celý bod se nevztahuje na kritéria přijatelnosti pro radiační následky DBE. 8 Výběr hodnot technických kritérií přijatelnosti by měl projektant nebo provozovatel JZ konzultovat se SÚJB. 9 V souladu s § 3 písm. c vyhlášky [2]

Výsledky deterministických bezpečnostních analýz DBE zpracovaných dle tohoto bezpečnostního návodu jsou součástí průkazu bezpečnosti a součástí PrBZ dle příloh č. 3 a č. 4 vyhlášky [2].

Minimální rozsah informací pro prezentaci výsledků deterministických bezpečnostních analýz DBE v dokumentaci bezpečnostní analýzy je následující: Úvodní informace k bezpečnostním analýzám AOO a DBA: (1) soubor vstupních dat pro bezpečnostní analýzy (lze využít např. obsah doporučený v [2] konkretizovaný z hlediska projektu, metodiky a analyzované události), (2) související informace v ostatních kapitolách bezpečnostní zprávy, (3) výběr PIU včetně jeho zdůvodnění, (4) zařazení PIU do skupin, (5) účel analýzy a související metody analýzy (míra konzervativnosti), (6) programy, modely a postupy použité pro analýzu, (7) seznam systémů uvažovaných pro analýzu a jejich nastavení a parametry, (8) seznam kritérií přijatelnosti pro analýzy PIU AOO a DBA, Základní prvky bezpečnostní analýzy konkrétní PIU AOO a DBA: (9) rozsah prezentace výsledků jednotlivých analýz zahrnující: a. identifikaci příčin a popis události, b. relevantní kritéria přijatelnosti, c. metodu analýzy, d. vstupní parametry - počáteční a okrajové podmínky, hlavní předpoklady analýzy, modelované zásahy operátora, e. popis použité nodalizace včetně zdůvodnění, f. výsledky analýz: i.časový průběh hlavních událostí a činnost systémů, 1.klíčové fyzikální procesy, 2.činnost komponent a systémů, 3.zásahy operativního personálu, ii.textový rozbor chování systému, iii.grafické průběhy klíčových parametrů, iv.plnění kritérií přijatelnosti, v.konkrétní hodnoty fyzikálních parametrů JZ při dosažení stabilizovaného podkritického stavu nebo bezpečného (viz odstavec

)10, (10) rozbor neurčitostí výsledků (pokud je metodou analýzy požadován). 10 S uvážením požadavků v bodě (7.3) se písmena d. až f. mohou opakovat pro odlišná kritéria přijatelnosti.