SOPORTE AL DISEÑO DE SISTEMAS EN INSTALACIONES NUCLEARES MEDIANTE LAS TÉCNICAS HAZOP Y FMEA DESDE EL ÁREA DE SEGURIDAD NUCLEAR

Transcripción

1 SOPORTE AL DISEÑO DE SISTEMAS EN INSTALACIONES NUCLEARES MEDIANTE LAS TÉCNICAS HAZOP Y FMEA DESDE EL ÁREA DE SEGURIDAD NUCLEAR Quiroga, D; Grinberg, M; Braida, I; Garay, C; López, C; García Espiño, M; Campregher, M; Aramayo, C; Domanski, D; Laiglecia, J; Maturana, R; García, M; Ilardo, P; Hegoburu, P; Giménez, M. CNEA, Centro Atómico Bariloche, S.C. de Bariloche, Río Negro, Argentina. quirogad@cab.cnea.gov.ar; grimberg@cab.cnea.gov.ar; gimenez@cab.cnea.gov.ar 1. RESUMEN En el marco del soporte al diseño del reactor nuclear de potencia CAREM-25 y del reactor de investigación RA-10, en el Departamento de Seguridad Nuclear de la Gerencia de Ingeniería Nuclear de la CNEA, se han desarrollado análisis de sistemas importantes para la Seguridad Nuclear (SN) mediante las técnicas HAZOP (Hazard Operability, Análisis de Riesgos y Operatividad) y FMEA (Failure mode and effects analysis, o su traducción al español AMEF, Análisis de Modos y Efectos de Falla). El objetivo de desarrollar estos análisis es identificar desde etapas tempranas de la ingeniería, aspectos a mejorar en el diseño de los sistemas, procurando incrementar la disponibilidad de los mismos en sus diversas funciones relacionadas con la Seguridad Nuclear. La aplicación de las técnicas HAZOP y FMEA se caracterizan por el requerimiento de un análisis sistemático y exhaustivo de los sistemas, integrando además información de ingeniería de distintas áreas técnicas. En el caso del Proyecto CAREM-25, se definió un plan de análisis de sistemas importantes para la seguridad (SIMPS), desde la perspectiva del área de Seguridad Nuclear, correspondiente a la etapa de cierre de Ingeniería Básica. Dicho plan contempla el análisis de 14 SIMPS, en un plazo de 16 meses, desarrollado desde Agosto de 2014 hasta el presente. Estos trabajos se distinguen por requerir la participación de analistas deterministas y probabilistas del área técnica de Seguridad Nuclear, a fin de complementar los enfoques de análisis, conformando equipos de trabajo ad-hoc para cada análisis. La elección de la técnica a aplicar ha sido definida de acuerdo con las características del sistema. Por otra parte, para el Reactor RA-10 se ha realizado un análisis para el Sistema de Refrigeración Prolongada de Piletas, cuya documentación correspondió a la etapa de Ingeniería Básica. Con el objetivo de aplicar una metodología para el desarrollo de estos estudios, se desarrollaron procedimientos para los análisis HAZOP y FMEA respectivamente. Estos documentos han sido elaborados siguiendo las normas IEC: IEC 60812:2006 para la técnica FMEA y IEC 61882:2001 para la técnica HAZOP. Además, esta metodología se complementa con la definición de un plan de trabajo para cada análisis. 1

2 En el presente documento se describen las técnicas HAZOP y FMEA, desde la perspectiva de la aplicación en el análisis de sistemas de ingeniería. Además, se presentan en forma sintética algunos casos de aplicación, con los hallazgos de mejoras de ingeniería. Por otro lado, se presentan los resultados de la implementación de los planes de trabajo, a fin de analizar los costos y beneficios de la metodología utilizada en proyectos de ingeniería. 2

3 1 INTRODUCCIÓN En este documento se presenta brevemente el trabajo desarrollado en el marco de análisis de riesgos de sistemas importantes para la seguridad, en particular mediante las técnicas HAZOP y FMEA, para los proyectos de los reactores CAREM-25 y RA-10, reactores de potencia y experimental respectivamente, desde la perspectiva del área técnica de Seguridad Nuclear. Estos análisis han sido realizados en una etapa de diseño, correspondiente a la ingeniería básica. A partir de la aplicación de estas técnicas se han obtenido como hallazgos medidas de ingeniería a analizar junto a otras áreas técnicas como Procesos, Instrumentación y Control e Ingeniería. En la segunda sección de este trabajo se realiza una introducción a las técnicas de análisis de riesgos, abordando en particular las técnicas HAZOP y FMEA. En el marco del proyecto CAREM-25, se realizó un plan de trabajo para abordar el análisis de riesgo de 14 SIMPS, entre los que se encuentran los Sistemas de Seguridad (Sistema de Inyección de Seguridad, Sistema de Seguridad de Extracción de Calor Residual, Primer y Segundo Sistema de Extinción), Sistemas de Reducción de Riesgo (Sistema de Purificación y Control de Volumen) y Sistemas de Estado Seguro Final (Sistema de Refrigeración de Parada, Sistema de Inyección a RPR desde pileta de supresión de presión, Sistema de Purificación y Refrigeración agua de piletas de contención y rociado de recinto seco). Como soporte a la ingeniería del Proyecto RA-10, se analizó el Sistema de Refrigeración Prolongada de Piletas. Para la realización en forma sistemática de estos estudios, se desarrollaron los procedimientos para las tareas de análisis de sistemas mediante FMEA y HAZOP respectivamente. En el presente trabajo se describen brevemente dos casos de aplicación de las técnicas HAZOP y FMEA, en relación a los sistemas anteriormente mencionados. Por otro lado, se abordan los aspectos vinculados a la gestión del plan de trabajo y metodológicos seguidos para llevar a cabo estos análisis. Finalmente, se presentan las conclusiones. 1.1 El análisis de sistemas importantes para la seguridad desde etapas tempranas del diseño Se ha definido como Sistemas Importantes para la Seguridad (SIMPS) a sistemas que cumplen una función de seguridad y pertenecientes a los Niveles 2 a 4 de Defensa en Profundidad. Esta definición comprende a los Sistemas de Seguridad propiamente dichos y a otros sistemas que llevan a cabo otras funciones importantes para la seguridad [1]. El análisis de sistemas en forma metodológica desde etapas tempranas del diseño como es el caso de la Ingeniería Básica, desde el área de la Seguridad Nuclear permite evaluar la implementación de criterios de diseño específicos para el sistema, los cuales están vinculados a documentos de mayor jerarquía como criterios de diseño generales de la instalación y criterios vinculados a la estrategia general para el control de Eventos Iniciantes Postulados. 3

4 Además, el análisis funcional del sistema luego es requerido para otras tareas de ingeniería como la asignación de categorías y clases de componentes, como así también la definición de requerimientos específicos para los mismos y para otros sistemas, estructuras y componentes (ESC). Por otro lado, estos análisis contribuyen al desarrollo de tareas específicas dentro del área de Seguridad Nuclear, como es el caso de los Análisis Deterministas y Probabilistas. En particular para estos últimos, el conocimiento detallado del sistema a nivel de componentes es necesario para luego desarrollar los modelos probabilistas de árboles de fallas y árboles de eventos. En la medida que se avance en las próximas etapas de la ingeniería, estos análisis serán revisados. Así mismo se considera que se extenderán los beneficios de los mismos por ejemplo a otras áreas técnicas de los proyectos como desarrollo de las interfaces humano máquina (HMI, Human Machine Interface), mantenimiento y operación. 2 TÉCNICAS PARA EL DESARROLLO DE ANÁLISIS DE RIESGOS 2.1 Introducción a las técnicas para el desarrollo de análisis de riesgos El objetivo de un análisis de riesgo es dar respuesta a las siguientes preguntas: Identificación del riesgo, qué puede suceder y por qué? Cuáles son las consecuencias del modo de falla o desvío planteado? Cuál es su probabilidad de ocurrencia? Existe alguna medida de ingeniería a fin de mitigar tal consecuencia o reducir la probabilidad de ocurrencia de la falla o desviación? En este apartado se describirán dos de las técnicas de análisis de riesgo, mencionadas en la referencia [4], las técnicas HAZOP y FMEA, indicando sus potenciales diferencias, su metodología de aplicación y sus principales características. El análisis de modos y efectos de falla (FMEA) es una técnica analítica utilizada para identificar los modos en que componentes, sistemas o procesos fallan, causando efectos indeseados sobre el funcionamiento para el cual el sistema fue diseñado. Se trata de un análisis inductivo y sistemático, componente por componente, de modo de identificar todos los posibles modos de falla y sus efectos sobre el sistema. El análisis HAZOP es un análisis estructurado y sistemático de un producto, proceso o sistema. Es una técnica cualitativa que se basa fundamentalmente en el uso de palabras guía que marcan desviaciones de un conjunto de variables de procesos prefijadas y, a partir de las cuales se identifican los modos de fallas de los componentes que llevan a tales desviaciones. Estas dos técnicas de análisis tienen como finalidad común identificar modos de falla del sistema, sus causas y efectos. Aunque son técnicas aparentemente similares, difieren en algunos aspectos. En el análisis HAZOP se plantean salidas indeseadas y desviaciones de variables prefijadas para el sistema (palabra guía) respecto a sus condiciones especificas de trabajo, identificando luego posibles causas o modos de falla que lleven a tales desviaciones. Por su parte, el análisis FMEA comienza identificando modos de falla de los componentes del sistema para luego analizar sus efectos. 4

5 En ambos casos, se sugiere que el análisis sea realizado por un equipo multidisciplinario de trabajo. Se puede concluir que ambas metodologías resultan complementarias. Por lo cual, en base a las características del sistema (tipos de componentes), y el alcance del estudio, debe definirse qué técnica es más apropiada para su aplicación. Cabe destacar que estas técnicas son aplicadas en diversas industrias y tipos de sistemas. En particular la técnica HAZOP se utiliza en sistemas de procesos químicos, mecánicos, electrónicos, y software. La técnica FMEA se emplea en el diseño de sistemas y componentes, procesos de manufactura, software, y procedimientos, que abarcan, por ejemplo, sistemas de salud, procedimientos de mantenimiento, entre otros. Las tareas generales para el desarrollo de los análisis de riesgo mediante las técnicas HAZOP y FMEA son las siguientes: a. Definición del plan de trabajo: Establecer reglas básicas, planificar y programar el análisis. i. Definir el objetivo y el alcance del análisis. ii. Definir el equipo de analistas y asignar los roles para el desarrollo de la tarea. iii. Definir el cronograma de trabajo. b. Definir nodos en el sistema, es decir, división del sistema en tramos para su análisis 1. c. Desarrollar la tarea de análisis (HAZOP o FMEA), mediante el uso de herramienta soporte (matriz). d. Reportar y analizar los resultados, para informar las conclusiones y medidas encontradas. e. Actualizar el análisis realizado a medida que avance la ingeniería de los sistemas analizados. Para iniciar el análisis de riesgo, es necesario disponer de información relativa al sistema, entre la cual se encuentra: Criterios de diseño Memoria descriptiva del sistema Matriz de filosofía de operación Diagramas de procesos e instrumentación Lógicas de control y monitoreo Lógicas de enclavamiento Procedimientos de operación y mantenimiento Hoja de datos de componentes 1 Para esto pueden considerarse las bases de la metodología Top Down utilizada en árboles de fallas, es decir, dividir el sistema en nodos, y comenzar a analizar desde uno de los extremos. Por ejemplo, se parte desde ingreso del sistema al RPR y se recorre el diagrama en sentido contrario al flujo hacia el otro extremo. La aplicación de esta metodología dependerá de las características del sistema (arquitectura). 5

6 Función de cada componente del sistema Conexiones lógicas entre componentes Nivel de redundancia y características del sistema Estudios probabilistas previos Análisis deterministas previos (simulaciones que consideren la actuación del sistema ante eventos iniciantes postulados) Eventos iniciantes postulados asociados a la falla del sistema Ubicación e importancia del sistema en la planta Definición de los límites del análisis Definición de las interrelaciones con otros sistemas (sistemas soporte/auxiliares) e interfaces con acciones humanas Entradas y salidas del sistema Cambio en la configuración del sistema según distintos estados operativos Otra información necesaria durante el desarrollo del análisis En la Figura 1 se muestra el diagrama de flujo para el desarrollo de la tarea de análisis de riesgo. Cabe observar que en etapas tempranas de la ingeniería del sistema, es posible que no se disponga de la documentación completa asociada al sistema. Esto debe estar considerado en el alcance del estudio, requiriéndose nuevas revisiones según se avance en la ingeniería. Es importante resaltar que en el alcance debe establecerse claramente qué interfaces serán consideradas en el análisis, es decir, qué interacciones con sistemas soportes serán abordadas. Por ejemplo, en el caso de los estudios realizados para el reactor CAREM-25, se considera la interfaz con el suministro eléctrico, mientras que no se considera la interfaz con el sistema de Ventilación y acondicionamiento de aire (HVAC: Heating, Ventilating, and Air Conditioning). 2.2 Breve descripción de la técnica HAZOP La técnica HAZOP (HAZard and OPerability study) permite analizar sistemas en forma estructurada y sistemática. Es una técnica cualitativa basada en el uso de palabras guías, que permite identificar desviaciones respecto a la operación esperada del sistema. En el análisis HAZOP se evalúa cada parte del sistema a fin de identificar eventuales desviaciones, sus posibles causas y efectos sobre el sistema o sobre la planta. Esto se logra analizando sistemáticamente cómo cada parte del sistema responde a las desviaciones planteadas a través de palabras guías adecuadas. A continuación se indica el plan de trabajo correspondiente al análisis HAZOP: 1. Comprender los requerimientos y funciones del sistema y sus componentes. 2. Indicar las funciones del sistema a analizar, considerando el estado operativo del reactor. 3. Identificar las variables a analizar. 4. Definir las palabras guías que se utilizarán para el análisis. Como referencia, se puede considerar el listado de palabras indicado en el Tabla 1, en lineamiento con la norma referenciada en [2]. 6

7 5. Definir los componentes que pueden causar desvíos según las variables a analizar. 6. Identificar el desvío en base a la variable, la palabra guía y el componente analizado. 7. Especificar las causas del desvío mediante el análisis del sistema. 8. Analizar las medidas de ingeniería implementada a fin de prevenir y/o mitigar los efectos del desvío. 9. Identificar el efecto en el nodo o en la planta del desvío. 10. Identificar medidas de ingeniería a analizar. El analista podrá identificar medidas de ingeniería sujetas a análisis posterior a fin de prevenir o reducir el impacto de fallas en el sistema. Para facilitar su tratamiento posterior, se recomienda clasificar las medidas por categorías por ejemplo en: - Lógicas de control y monitoreo - Procedimientos administrativos - Componentes - Mantenimiento - Diseño 11. Identificar, eventualmente, otros análisis a realizar, por ejemplo, si se identifican equipos críticos se podrá requerir un FMEA. En la Figura 2 se muestra el diagrama general de la tarea, indicándose también la interacción con el área técnica de referencia para el estudio y los documentos generados. En la Tabla 3 se presenta la matriz utilizada, la cual es propuesta en la referencia [2] para plasmar los resultados de la aplicación de la técnica HAZOP. 2.3 Breve descripción de la técnica FMEA La técnica FMEA consiste en un procedimiento metódico de análisis de sistemas. Se utiliza para identificar los modos en que componentes, sistemas o procesos pueden fallar a la hora de cumplir la función para la cual fueron diseñados. A través de este análisis se identifica: Los potenciales modos de falla de los componentes del sistema Los efectos del modo de falla sobre el componente y/o sobre el sistema y planta, en su operación, función o estado El mecanismo de falla, es decir las posibles causas de la misma Medidas de ingeniería a implementar en el diseño para prevenir o mitigar el impacto de los modos de falla en los componentes y/o sistema Esta técnica resulta útil como soporte para las revisiones de diseño y es recomendable comenzar a utilizarla lo antes posible en el proyecto. El análisis debe actualizarse conforme 7

8 se avanza con el proyecto y a medida que el diseño de aquellos sistemas que hayan sido analizados, sea modificado. Para el desarrollo del análisis FMEA se requiere información detallada sobre los componentes y sus funciones en el sistema a fin de poder identificar con claridad los modos en que estos pueden fallar. El desarrollo del análisis mediante la técnica FMEA implica los siguientes pasos: 1. Comprender los requerimientos y funciones del sistema y sus componentes. 2. Definir la/las función/funciones a analizar y el criterio de falla asociado a cada una de ellas. 3. Determinar los modos de falla que le corresponden a cada componente a analizar. A fin de identificar eventuales modos de falla, se deben tener en cuenta aquellos elementos críticos cuyo desempeño condicione el éxito del sistema. También deben considerarse las funciones del sistema, las características particulares del elemento en cuestión, los diversos estados operacionales, las especificaciones de operación, las restricciones de tiempo, las condiciones ambientales y las operativas. En la Tabla 5 se presenta un listado de posibles modos de falla para diversos componentes que puede utilizarse como referencia al momento de aplicar la técnica. 4. Identificar el mecanismo de falla, es decir sus causas (deficiencias del diseño, mantenimiento, operación, etc.). Los modos de falla pueden tener varias causas asociadas, algunas de ellas con mayor probabilidad de ocurrencia. Si bien es necesario identificar los tipos de causas y describirlas, dependiendo de la complejidad del análisis se recomienda priorizar los modos de falla cuyos efectos resulten de gran importancia para el éxito del sistema. 5. Identificar las consecuencias asociadas a los modos de falla identificados. Se propone diferenciar: i. Efectos locales: aquellos efectos sobre el componente en consideración. ii. Efectos sobre el sistema o efectos de planta: aquellos que pueden afectar en forma directa al sistema o planta. 6. Determinar los métodos de detección de los modos de falla. 7. Identificar aquellas características del diseño que mitiguen o controlen la/s consecuencia/s de un modo de falla. Hace referencia a aquellas características del diseño que tengan la capacidad de reducir el efecto del modo de falla. Por ejemplo: redundancias, diferentes estados operacionales, sistemas de monitoreo y alarma, esto es, toda 8

9 característica que permita continuar con la operación o que reduzca el daño en caso que suceda el modo de falla. 8. Asignar la clase de severidad que corresponda a cada modo de falla. La evaluación de severidad es una medida de la importancia de los efectos del modo de falla sobre la operación del componente/sistema. Es conveniente definir de antemano las clases de severidad que se tendrán en cuenta durante el análisis, qué implica cada una y cuáles serían sus efectos sobre el componente y el sistema analizados. 9. Identificar medidas de ingeniería a analizar. Los analistas podrán identificar medidas de ingeniería, a fin de prevenir o reducir el impacto de los modos de falla en el sistema. Para facilitar su tratamiento posterior, se recomienda clasificar las medidas por categorías (a definir por los analistas), por ejemplo: - Lógicas de control y monitoreo - Procedimientos administrativos/mantenimiento - Componente/equipo En la Figura 3 se muestra el diagrama de flujo para un análisis FMEA. En la Tabla 4 se presenta la matriz utilizada, la cual es propuesta en la referencia [3] para plasmar los resultados de la aplicación de la técnica FMEA. 2.4 Vínculo de las técnicas de análisis de riesgos con otras metodologías del Análisis Probabilista de Seguridad La técnica FMEA, la cual es de tipo inductiva, es utilizada como complemento de la técnica deductiva de desarrollo de Árboles de Fallas. Esta última es empleada, entre otras aplicaciones, para la determinación de indisponibilidad de sistemas y frecuencia de eventos iniciantes en los Análisis Probabilistas de Seguridad de Nivel 1. La consistencia en la aplicación de ambas técnicas está dada porque cualquier falla simple en el FMEA que conduce a la falla del sistema (falla catastrófica), tiene que aparecer como falla simple en los conjuntos mínimos de corte obtenidos como resultado del árbol de fallas. De la misma forma, todas las fallas simples identificadas en el árbol de fallas deben haber sido detectadas como tales en el desarrollo del FMEA. Cabe observar que la técnica FMEA, de carácter cualitativa, puede extenderse a la técnica FMECA, en la cual se cuantifica la probabilidad de ocurrencia de las fallas y su severidad. Sin embargo, desde el punto de vista de la aplicación de la técnica FMEA como complementaria para estudios probabilistas en el área de Seguridad Nuclear, se considera que para la realización de análisis cuantitativos resulta más conveniente la técnica de Árboles de Fallas, la cual es descripta en la referencia [5]. 9

10 3 CASOS DE APLICACIÓN DE ANÁLISIS DE RIEGOS 3.1 Introducción a los casos de aplicación de análisis de riesgos En este apartado se reportan dos casos de análisis de riesgos mediante las técnicas HAZOP y FMEA, respectivamente, los cuales corresponden a sistemas importantes para la seguridad. En primer lugar, se presenta una síntesis del análisis de riesgo realizado para el sistema de Purificación y Control de Volumen del reactor CAREM-25. El análisis de este sistema es de interés dado que los desvíos que se produzcan en el funcionamiento del mismo durante la operación normal del reactor, pueden conducir a eventos operacionales previstos. Además, el mismo es considerado como sistema de reducción de riesgo en la estrategia de control de eventos iniciantes postulados. Dadas las características del sistema, se ha aplicado la técnica HAZOP. Luego, se presenta el análisis de riesgo realizado para el Sistema de Refrigeración Prolongado de Piletas, correspondiente al reactor RA-10. En este caso se aplicó la técnica FMEA, a fin de evaluar los modos y efectos de falla que se pueden presentar en el funcionamiento del sistema debido a la ocurrencia de un evento iniciante de Pérdida de suministro eléctrico. Cabe observar que los modos de falla identificados que resultan críticos o catastróficos para el sistema fueron posteriormente considerados para el desarrollo del árbol de fallas del sistema. En ambos casos, la realización de los análisis de riesgos ha tenido como objetivo brindar soporte al diseño desde el área técnica de Seguridad Nuclear. Estos estudios corresponden a la etapa de ingeniería básica. 3.2 Caso de aplicación de la técnica HAZOP Breve descripción del Sistema de Purificación y Control de Volumen del reactor CAREM-25 El Sistema de Purificación y Control de Volumen (SPCV) del reactor tiene como función acondicionar el agua del sistema primario para mantener las especificaciones físicas, químicas y radiológicas dentro de los valores requeridos. Además, es el sistema encargado de controlar la presión o el nivel, según corresponda, del recipiente de presión durante la secuencia de arranque y parada del reactor; y de controlar nivel en operación a potencia nominal. El SPCV es un sistema que también cumple funciones de seguridad y está diseñado para actuar ante dos tipos de Eventos Iniciantes Postulados (EIP), con reactor extinguido: Evento de Pérdida de Refrigerante del primario y Evento de Pérdida de Refrigeración del sistema primario. Estas funciones de seguridad están encuadradas dentro del Nivel 2 de Defensa en Profundidad, donde el sistema actúa como un Sistema de Reducción de Riesgo y que evita la necesidad de recurrir a los sistemas de seguridad (pertenecientes al Nivel 3 de Defensa en Profundidad) Ante un Evento de Pérdida de Refrigerante del sistema primario, el SPCV inyecta un caudal máximo desde el Tanque de Control de Volumen con el fin de mantener el núcleo cubierto. Por otro lado, ante un Evento de Pérdida de Refrigeración del sistema primario 10

11 por falla de extracción de calor del sistema secundario, el SPCV se encarga de refrigerar el sistema primario con el objetivo de evitar que se alcance la presión de disparo de Sistema de Extracción de Calor Residual, a la vez que reduce la presión del recipiente de presión hasta un valor por debajo de la condición de Parada Caliente. En la Figura 4 se muestra un esquema del SPCV Desarrollo del análisis HAZOP El objetivo de este estudio realizado mediante la técnica HAZOP, fue analizar las funciones importantes para la Seguridad del SPCV y el funcionamiento del mismo en el estado operativo del reactor de Operación a potencia nominal (OPR), con el propósito de realimentar su diseño y mejorar la disponibilidad del sistema. El alcance se extendió principalmente hasta la ingeniería básica elaborada por las áreas técnicas OTI y de Instrumentación y Control. En primera instancia se recopiló y analizó la información disponible sobre el SPCV, y luego se procedió a elaborar un plan de trabajo. De esta forma, se subdividió el estudio en el análisis de tres funciones, cada una con sus variables y palabras guías, de acuerdo a lo indicado en la Tabla 6. - F1. Operación a potencia nominal - F2. Reactor extinguido dada la ocurrencia de un EIP de pérdida de extracción de calor por los Generadores de Vapor (GV) - F3. Reactor extinguido por actuación de Primer Sistema de Extinción (PSE) dada la ocurrencia de un EIP de pérdida de refrigerante Para proceder con el análisis de cada función, se nodalizaron los diagramas de procesos e instrumentación del sistema y se listaron todos los componentes correspondientes. Se consideraron para el desarrollo del estudio las siguientes hipótesis: 1. Se considera que es posible la inyección a RPR ya sea a seno de líquido o a domo 2 (Nota 1). 2. Se considera en la ingeniería la implementación de un by-pass al tren de purificación y torre de desgasado, el cual se habilitaría en caso de ocurrencia de un evento iniciante. Esta implementación se justifica con el criterio de diseño de simplicidad del sistema 1400 en cumplir funciones como sistema de reducción de riesgo (N2 de Defensa en Profundidad). 3. Se considera que ante cierre espurio de la válvula de by-pass a tren de purificación, dada condición de funcionamiento de la misma, el sistema puede continuar operando a través del tren de purificación. Por lo tanto, no se analiza la falla de este componente. 2 En el caso de la función F3, se considera que no está habilitada la inyección a domo. Sin embargo, se hace la observación de que sea posible la inyección por ambas vías 11

12 4. Se considera que la habilitación del Sistema de Purificación y Refrigeración del agua de las Piletas de la Contención y Rociado de Recinto Seco para reponer inventario al Tanque de Control de Volumen se realiza en forma manual; luego el control se realiza en forma automática. 5. Se considera que se continúa controlando el caudal de by-pass a economizadores en caso de ocurrencia de evento de Pérdida de extracción de calor por los Generadores de Vapor (cambio respecto a lo indicado en Matriz Lógica de operación). 6. Se considera, según se indica en la matriz de causa-efecto, que ante bajo nivel en el RPR se produce el cierre de las válvulas de inyección por domo. 7. No se consideran en los análisis las válvulas manuales. 8. Se considera como envolvente ante evento de Pérdida de refrigerante, el modo de operación en el que se encuentran ambas bombas del sistema 1400 operativas (dada señal de bajo nivel en el RPR) y la extracción está cerrada (dada señal de muy bajo nivel en el RPR). En la Tabla 8 se presenta a modo de ejemplo, dos ítems correspondientes al análisis HAZOP del SPCV, para la función de Control de Volumen (F1) Hallazgos obtenidos a partir del análisis HAZOP Como resultado del análisis HAZOP del SPCV se detectaron medidas de ingeniería a analizar y análisis complementarios requeridos. Entre las medidas de ingeniería a analizar se pueden destacar: Lógicas de control y monitoreo: a. Revisión del monitoreo de la apertura de válvulas de alivio y de pinchaduras en el intercambiador de enfriamiento. b. Revisión de los criterios de redundancia y de votación para prevenir señales espurias en los enclavamientos. Componentes: c. Proveer de aperturas mínimas a las válvulas de inyección por domo y a seno de líquido para evitar el desacople del domo con el reactor. Procedimientos: d. Elaborar procedimientos escritos para varias acciones manuales que pueden interferir con las funciones de seguridad. También surgieron análisis complementarios requeridos, algunos como: e. Analizar transitorio por funcionamiento inadecuado del 1400, dado aumento de caudal por encendido de la bomba de reserva. f. Analizar transitorio por funcionamiento inadecuado del 1400, dada interrupción total del caudal de inyección. g. Analizar transitorio de Pérdida de extracción de calor por los Generadores de Vapor con este sistema funcionando en modo refrigeración. Analizar la relación de caudales domo/seno de líquido. 12

13 h. Analizar transitorios por aumento de temperatura en la inyección, para la función de refrigeración dada la ocurrencia de un EIP. i. Determinar el caudal máximo de inyección por domo debido a la falla abierta de las válvulas de inyección por domo o hacia seno de líquido. 3.3 Caso de aplicación de la técnica FMEA Breve descripción del Sistema de Refrigeración Prolongada de Piletas del reactor RA-10 La función de Refrigeración Prolongada de Piletas tiene como objetivo la transferencia del calor de decaimiento, en forma confiable, desde el Núcleo, los Dispositivos de Experimentales y los Elementos Combustibles Irradiados hacia el sumidero final de calor en estados operacionales y condiciones anormales. El circuito de Refrigeración Prolongada de Piletas (RPPIL) forma parte del Sistema de Refrigeración de Piletas (PIL). El Sistema Secundario (SEC) provee refrigeración al RPPIL. A través del modo de Refrigeración Prolongada de Piletas se cumple la función de seguridad de mantener un inventario suficiente que permita refrigerar el núcleo y/o las facilidades de irradiación durante Evento Base de Diseño Extendida (EBDE). El circuito de Refrigeración Prolongada de Piletas (RPPIL) toma agua de la pileta del reactor (PRE) de la zona próxima a la parte superior fuera de la chimenea y de la pileta de servicios (PSE). El agua va por cañerías separadas hasta la aspiración de las bombas de refrigeración prolongada. La bomba operativa, impulsa el fluido a través de un intercambiador de calor de placas, donde se produce la transferencia de calor al sistema secundario (SEC). Aguas abajo del intercambiador de calor, dos líneas retornan el fluido refrigerante a cada pileta. En la Figura 5 se muestra un esquema del RPPIL. Las bombas de los sistemas PIL y SEC destinadas a la refrigeración prolongada de piletas cuentan con suministro de energía eléctrica desde el Sistema Asegurado de Potencia (SAPOT). El tiempo de operación considerado del RPPIL es de 7 días en forma ininterrumpida Desarrollo del análisis FMEA El análisis FMEA fue realizado para un Evento Base de Diseño Extendida (EBDE) de Pérdida de Suministro Eléctrico Prolongado; se consideró la demanda de extinción del reactor por la ocurrencia del evento iniciante de Pérdida de Suministro Normal de Potencia (PSNP) en el estado operacional de Convección Forzada. Para este estudio han sido consideradas las siguientes especificaciones del entorno: - Evento base de diseño extendida: Pérdida de Suministro de Potencia Prolongado. - Reactor extinguido con éxito del Primer Sistema de Parada. - Sistema de Refrigeración Primario en estado de circulación natural. - PIL en estado de circulación natural. - Se considera la interfaz con los sistemas eléctrico y neumático, y con instrumentación y control. - Se excluyen del análisis las consideraciones de factores humanos. 13

14 - Se incluyen fallas a la demanda y en operación del RPPIL (lado PIL y lado SEC). - Se excluyen de este análisis los modos de falla del SAPOT. Se han considerado las siguientes hipótesis para el desarrollo del estudio: 1. Para las bombas, el modo de falla Pérdida de fluido externa, EFL puede afectar al cumplimiento de la función de seguridad de mantener un inventario suficiente que permita refrigerar el núcleo y/o las facilidades de irradiación durante EBDE. 2. Se excluyen del análisis los componentes pasivos (ej. las cañerías). 3. Para el Sistema de Control y Monitoreo del Reactor (SCMR) sólo se considera el modo de falla Señal Espuria (se lo identifica como FSS). Se realiza el análisis para cada componente. 4. Se excluyen del análisis los componentes que no tengan conexión al suministro asegurado de potencia (SAPOT). 5. Se considera que no se puede dar crédito a la instrumentación que figura en los Diagramas de Instrumentación y Cañerías (PID, por sus siglas en inglés) de los sistemas PIL y SEC para la detección de los modos de falla en un EBDE. En instancias más avanzadas de la ingeniería, se podrá confirmar la disponibilidad de instrumentación perteneciente al sistema de Monitoreo Post Accidente (MPA) o al SCMR ante condiciones de EBDE. Esto compromete el cumplimiento de la función de seguridad específica para monitorear parámetros relevantes de la instalación durante EBDE. 6. Se considera que la refrigeración prolongada (RPPIL) tiene una secuencia de arranque que habilita el operador desde la sala de control. 7. Se considera que las lógicas de control asociadas al funcionamiento del RPPIL tienen una clasificación que contemple la operación del sistema ante un EBDE. A los modos de falla identificados para cada componente se le asigna una clase de severidad con el objeto de evaluar la importancia de un modo de falla sobre un componente. La clasificación de Severidad definida para el FMEA se presenta en la Tabla 7. Mediante la aplicación de la técnica FMEA para el sistema RPPIL se identificaron aquellos componentes que podrían fallar y se establecieron sus modos de falla, posibles causas y efectos asociados a dichos modos de falla. Se presenta en la Tabla 9 un resumen de los modos de falla cuya evaluación resultó con clasificación de severidad catastrófica Hallazgos obtenidos a partir del análisis FMEA Como recomendaciones para el área de ingeniería se identificaron los siguientes puntos: a. Se recomienda verificar los cálculos termohidráulicos de los sistemas PIL y SEC para los parámetros de procesos (caudales, presiones y temperaturas) correspondientes a la refrigeración prolongada de piletas. En la ingeniería básica, 14

15 dichos cálculos verifican para condiciones de operación de los sistemas con las bombas utilizadas para el modo operacional de Convección Forzada. b. Para el cumplimiento de la función de seguridad de monitorear parámetros relevantes de la instalación durante EBDE, se sugiere la conexión al sistema de MPA de determinados instrumentos asociados al RPPIL, por ejemplo: - Medidor de caudal lado PIL: de utilidad para corroborar la circulación de fluido refrigerante impulsado por las bombas de refrigeración prolongada durante EBDE. - Medidor de caudal lado SEC: de utilidad para corroborar la circulación de fluido refrigerante impulsado por las bombas de refrigeración prolongada durante EBDE. c. Se sugiere considerar el accionamiento manual en campo del circuito de Refrigeración Prolongada: apertura y cierre de válvulas actuadas; arranque de una bomba de RPPIL. Esta sugerencia tiene como objetivo evitar que la secuencia de accionamiento del circuito se implemente con el SCMR debido a que dicha secuencia debe comenzar luego de ocurrido el evento iniciante Pérdida de Suministro Normal de Potencia 4 Implementación de planes de trabajo para el desarrollo de análisis de riesgos Como se mencionó en la introducción se han desarrollado análisis de riesgos para los SIMPS tanto en el Proyecto CAREM-25, como para el Proyecto RA-10. En el caso particular del Proyecto CAREM-25, se elaboró un acuerdo de trabajo con la Oficina Técnica de Ingeniería, el cual considera los sistemas a analizar, la fecha de finalización propuesta y una estimación preliminar de las horas/hombre requeridas. El acuerdo de trabajo contempla el análisis de riesgo de 14 SIMPS, en un plazo de 16 meses, desde Agosto de Estos estudios son desarrollados a partir de la documentación correspondiente a la Etapa de Ingeniería Básica. Para el análisis de riesgo de cada SIMPS, en el área técnica de Seguridad Nuclear se definió un equipo de trabajo en el que participan analistas de seguridad tanto probabilistas como deterministas, con el objetivo de complementar puntos de vistas respecto al análisis de falla de componentes, aspectos funcionales del sistema, como así también aspectos fenomenológicos asociados a la interrelación del sistema con el recipiente de presión del reactor (RPR), la Contención u otros sistemas. En el equipo también se definieron los roles de Responsable del estudio, siendo quien conduce la realización del estudio y su documentación, participando además en el análisis del sistema, y de Revisores del estudio por parte de área de Seguridad Nuclear (SN). En cada análisis se desarrollaron reuniones de trabajo, abordando la aplicación de las técnicas HAZOP o FMEA. En la metodología asociada al acuerdo de trabajo se definió también que podría requerirse la asistencia de la Oficina Técnica de Ingeniería (OTI) en lo que refiere a consultas sobre componentes, aspectos funcionales del sistema, cálculos realizados entre otros. Por lo tanto, para el análisis de algunos sistemas se realizaron reuniones durante el desarrollo del análisis con participación de SN y la OTI. 15

16 Luego del análisis realizado para cada SIMPS por SN, se realizó una reunión con OTI a fin de tratar los resultados generales, analizar las medidas de ingeniería propuestas y análisis complementarios requeridos. Finalmente, SN emite un documento que reporta el análisis realizado. Se pretende también que los análisis de riesgos sean revisados, luego de que se desarrolle la ingeniería de detalle de los SIMPS. En el caso del Proyecto RA-10, se desarrolló un análisis FMEA para el Sistema de Refrigeración Prolongada de Piletas. Este estudio también se realizó en el marco de un Acuerdo de Servicios. Se siguió un esquema de trabajo similar al explicado anteriormente para el Proyecto CAREM-25. Es importante resaltar en el desarrollo de planes de trabajo, en particular aquellos que demandan el involucramiento de otras áreas técnicas, la definición de aspectos metodológicos a fin de realizar estudios en forma sistemática. En relación a los costos de los análisis de riesgos, se ha estimado que para el desarrollo de cada estudio ha demandado en promedio 225 horas hombre, observándose que en para algunos sistemas pueden alcanzarse las 400 horas hombre para el desarrollo del análisis. Sin embargo, puede considerarse que como mínimo un 30% de dichas horas se insume en el conocimiento del sistema y en la revisión de la documentación de ingeniería asociada al mismo. 5 Conclusiones En este documento se ha expuesto el trabajo desarrollado desde el área de Seguridad Nuclear en relación a análisis de riesgos de Sistemas Importantes para la Seguridad como soporte al diseño, para los proyectos CAREM-25 y RA-10. Entre los beneficios que presenta este trabajo se encuentran: - Conocimiento detallado del sistema y sus funciones, lo cual se considera es necesario para el desarrollo de modelos probabilistas y deterministas de Seguridad Nuclear. - Revisión integral del sistema, considerando documentos como Criterios de diseño relativos al Área de Seguridad, análisis deterministas y probabilistas desarrollados. - Identificación en forma temprana de medidas de ingeniería a implementar y otros cambios de ingeniería requeridos. - Conocimiento detallado del sistema para la revisión de asignación de categorías y clases a nivel de componentes. - Identificación de temas de ingeniería a abordar con otras áreas técnicas. Se resalta que la aplicación de las técnicas de análisis de riesgos permite abordar el análisis del sistema con importante nivel de detalle, lo cual tiene un impacto altamente positivo en la comprensión del sistema y su interacción con otros sistemas, permitiendo en el marco del proceso de licenciamiento de reactores nucleares, el desarrollo más robusto del Análisis Probabilista de Seguridad Nivel 1. 16

17 Además, la realización de los estudios en el marco de planes de trabajo, favorece la identificación de aspectos de mejora en lo que refiere a aspectos metodológicos en el desarrollo de los estudios. Se considera también que el desarrollo de tareas comprendidas en planes de trabajo propicia la vinculación entre áreas técnicas, aspecto de relevancia en proyectos de desarrollos innovadores. Por otro lado, si bien el análisis de riesgos no evalúa en forma directa cálculos realizados para el dimensionamiento de los sistemas, la revisión integral del mismo y la implementación de criterios de diseño, conduce al abordaje y revisión por las áreas técnicas intervinientes de aspectos de diseño en forma paralela. Si bien cada sistema analizado tiene sus particularidades, en todos los casos analizados hasta el momento se han podido aplicar sin dificultades las técnicas HAZOP o FMEA, lo cual demuestra la versatilidad de las mismas. Por lo cual, se recomienda su aplicación a otros sistemas de importancia para la seguridad, como Sistema de Protección de Reactor y HVAC. Se ha estimado que cada análisis en promedio requiere 225 horas hombre. En futuras revisiones de estos estudios, en función al avance de la ingeniería, se prevé que si bien ya se parte de un estado de conocimiento del sistema, será necesario revisar igualmente la documentación de ingeniería y los cambios implementados, y analizar nuevos documentos como manuales de operación. Además, deberá revisarse información sobre especificación de componentes. En consecuencia, se espera que la cantidad de horas hombre requeridas para cada análisis sea superior a la correspondiente a la etapa de Ingeniería Básica. Es importante resaltar que la realización de análisis de riesgos mediante las metodologías HAZOP y FMEA desde etapas tempranas de diseño, permite identificar medidas de ingeniería a implementar cuyo costo de implementación será inferior que en etapas más avanzadas de la ingeniería. 6 Referencias [1] Instrumentation and Control Systems Important to Safety in Nuclear Power Plants, IAEA Safety Guide NS-G-1.3 [2] IEC Hazard and operability studies (HAZOP studies) - Application guide. [3] IEC Analysis techniques for system reliability - Procedure for failure mode and effects analysis (FMEA). [4] IEC/FDIS Risk management Risk Assessment techniques. [5] IEC Fault tree analysis. 7 Agradecimientos Se agradece la participación de las áreas técnicas de Oficina Técnica de Ingeniería perteneciente a la Gerencia CAREM y a Licenciamiento de la Gerencia RA-10, en la revisión de las tareas de análisis de sistemas realizadas en el Departamento de Seguridad Nuclear. 17

18 8 Figuras Memoria descriptiva PDI Hojas de datos Análisis probabilistas previos Análisis deterministas previos Maqueta Otros Inicio de tarea Análisis de la documentación del sistema Asistencia técnica por área técnica Informe técnico (en elaboración) Desarrollo de Análisis de sistema (HAZOP/FMEA) por SN Sí Análisis de medidas de ingeniería y análisis complementarios con áreas técnicas Memo/Minuta de reunión Quedan puntos por analizar por SN? No Informe técnico (liberado) Emisión de documento Implementación de medidas de ingeniería por áreas técnicas FIN Figura 1: Diagrama de flujo de la tarea de análisis de riesgos de sistemas. 18

19 Iniciar HAZOP Nodalizar el sistema Identificar las funciones del sistema Indicar las variables a analizar Definir las Palabras Guías Identificar componentes que causen desvíos en las variables Surgen nuevas variables a analizar? Sí Identificar el desvío en base a la variable y la palabra guía No Especificar las causas del desvío mediante el análisis del sistema. Analizar las medidas de ingeniería implementada a fin de prevenir y/o mitigar los efectos del desvío. Documentar los hallazgos Especificar el efecto del desvío en el nodo y en la planta. Identificar medidas de ingeniería a analizar. Indicar otros análisis complementarios a realizar Lógicas de control y monitoreo Procedimientos administrativos Componentes Mantenimiento Diseño FIN Figura 2: Diagrama de flujo para la aplicación de la técnica HAZOP. 19

20 Iniciar FMEA Seleccionar un componente del ítem para analizar Identificar los modos de falla del componente seleccionado Seleccionar el modo de falla para analizar Identificar efecto inmediato y consecuencia del modo de falla Determinar la severidad de la consecuencia Identificar causas potenciales del modo de falla Estimar frecuencia/probabilidad de ocurrencia del modo de falla La severidad y/o probabilidad justifican tomar acciones? No Proponer acciones de mitigación, de corrección o de compensación. Si Documentar notas, recomendaciones, acciones y observaciones Si Hay más MdF para analizar? No FIN No Hay otros componentes para analizar? Sí Figura 3: Diagrama de flujo para la aplicación de la técnica FMEA. 20

21 Figura 4: Esquema del Sistema de Purificación y Control de Volumen. 21

22 Figura 5: Esquema del Sistema de Refrigeración Prolongada de Piletas. 22

23 9 Tablas Tabla 1: Palabras guías básicas y su significado genérico, empleados en la aplicación de la técnica HAZOP. Palabra guía No Aumento Disminución Casi Parte de Otro que Temprano Tarde Antes Después Significado Negación completa de la intención de diseño Incremento cuantitativo Disminución cuantitativa Modificación/incremento cualitativo Modificación/disminución cualitativa Sustitución completa Relativo a tiempo Relativo a tiempo Relativo a orden o secuencia Relativo a orden o secuencia Tabla 2: Matriz de plan de trabajo para la aplicación de la técnica HAZOP. ID Análisis Estado operativo del reactor Función del sistema Variables a analizar Palabras guías Sistema Función del sistema Modo operativo del sistema Estado operativo del reactor Alcance del estudio Palabras guías utilizadas Tabla 3: Matriz de trabajo para la aplicación de la técnica HAZOP. ID Nodo Palabra guía Elemento Desviación Causas Efectos Medida de ingeniería implementadas Medida de ingeniería propuesta Análisis complementario requerido 23

24 Tabla 4: Matriz de trabajo para la aplicación de la técnica FMEA. ID Nodo Componente Descripción y función Modo de falla Local Efecto En planta Severidad Causas probables/ mecanismo de falla Método de detección Medida correctiva existente Medida de ingeniería propuesta Tabla 5: Modos de falla de referencia para aplicación de la técnica FMEA. Componente Modo de Falla ID Falla al arrancar: se produce antes de alcanzar la condición nominal de operación FTS Falla en operación: se produce una vez alcanzada la BOMBAS CENTRÍFUGAS condición nominal de operación FTR Pérdida de fluido interna IFL Pérdida de fluido externa EFL Ruptura de sello MSR Falla al abrir FTO Falla al cerrar FTC Pérdida de fluido interna IFL VÁLVULAS ACTUADAS Pérdida de fluido externa EFL Apertura espuria FSO Cierre espurio FSC Falla a mantener cerrada FRC Falla a mantener abierta FRO Falla al arrancar (7) FTS GENERADORES DIESEL Falla en operación (8) FTR Falla al parar FTE Falla al abrir (1) FTO VÁLVULAS DE ALIVIO DE PRESIÓN/ Falla al cerrar (2) FTC DE SEGURIDAD Apertura espuria (3) FSO Falla al abrir (4) FTO Falla al cerrar (5) FTC VÁLVULAS DE RETENCIÓN Falla a permanecer cerrada/ Fuga interna (6) FRC Fuga al exterior EFL Apertura espuria FSO Cierre espurio FSC Obstrucción OBS INTERCAMBIADORES DE CALOR Pérdida de fluido interna IFL Pérdida de fluido externa EFL Falla propia FP INSTRUMENTACIÓN Y CONTROL Falla canal de transmisión FCT Falla de actuación sobre el componente controlado FTA 24

25 Notas: 1. Válvula de alivio de presión o de seguridad bloqueada mecánicamente, que no permite el paso de fluido o que permite el paso de menor cantidad de fluido que lo especificado. Ejemplos: mecanismo cerrado, apertura insuficiente. 2. Válvula de alivio de presión o de seguridad que al tener que cerrar, falla. Ejemplos: el mecanismo se mantiene abierto, la válvula no cierra lo suficiente. 3. Incluye la apertura espuria, la fuga a través de los sellos de la válvula o la apertura a menor presión por recalibración. 4. Mecanismos internos trabados (clapeta/resorte/bisagras) 5. Mecanismos internos gastados (disco/esfera) 6. Por daños en los asientos, en el disco o por acumulación de sólidos. 7. El voltaje entregado en el arranque es menor que el demandado. Tabla 6: Variables y palabras guías asociadas a cada función empleadas en el análisis HAZOP. ID Análisis F1 F2 F3 Estado operativo del reactor Operación a potencia nominal Reactor extinguido dada la ocurrencia de un EIP de pérdida de extracción de calor por los GV Reactor extinguido por actuación de PSE dada la ocurrencia de un EIP de pérdida de refrigerante Función del sistema Control de Volumen Refrigeración RPR Reposición de inventario Variables y Palabras guías Caudal: Aumento, Disminución, No. Temperatura: Aumento, Disminución. Nivel en el TCV: Disminución. Caudal: Aumento, Disminución, No. Temperatura: Aumento, Disminución. Caudal: Disminución, No. Nivel TCV: Disminución. Tabla 7: Clasificación de Severidad utilizada para el desarrollo del FMEA del Sistema de Refrigeración Prolongada de Piletas (reactor RA-10). Clase I II III IV Medida de severidad Menor Moderada Crítica Catastrófica Consecuencias sobre el componente/ítem y el sistema Modo de falla que imposibilita el cumplimiento parcial de la función asignada al componente/ítem pero no afecta al funcionamiento del sistema. Modo de falla que imposibilita el cumplimiento total de la función requerida al componente/ítem. Se requieren acciones de control o compensación para no comprometer el funcionamiento del sistema. Modo de falla que imposibilita el cumplimiento total de la función del componente/ítem, pero la existencia de una redundancia permite la continuidad en el funcionamiento del sistema. Modo de falla que imposibilita el cumplimiento de la función requerida tanto al componente/ítem como al sistema. 25