Granskning av Oskarshamn 3 redovisning av komplettering till förnyad SAR och uppfyllande av 12 SSMFS 2008:17

Transkript

1 OKG Aktiebolag Oskarshamn Tillsynsrapport Datum: Er referens: Diarienr: SSM Granska i tillsyn OKG Aktiebolag Ansvarig handläggare: Daniel Kjellin - KI Arbetsgrupp: Björn Brickstad - KI Samråd: Per-Olof Hägg -KD, Hans Blomström - KS Godkänt av: Lars Skånberg -cki Granskning av Oskarshamn 3 redovisning av komplettering till förnyad SAR och uppfyllande av 12 SSMFS 2008:17 Sammanfattning Tålighet mot belastningar Strålsäkerhetsmyndigheten (SSM) granskade 2010 stickprovsvis OKG AB:s (OKG) uppfyllande av kraven för skydd mot lokala dynamiska effekter, enligt 12 första stycket Strålsäkerhetsmyndighetens föreskrifter (SSMFS 2008:17) om konstruktion och utförande av kärnkraftsreaktorer. SSM bedömde att de tänkbara konsekvenserna från läckage eller rörbrott var väl beskrivna och att de av OKG föreslagna åtgärderna var rimliga för att få tillräckligt skydd mot angivna konsekvenser. Dock framkom det i granskningen att OKG behövde klarställa vilken tolkning av 12 SSMFS 2008:17 som gäller för Oskarshamn reaktor 3 (O3) och att detta skulle speglas i säkerhetsredovisningen (SAR). OKG anmälde därefter föreliggande ärende vilket omfattar kompletterad SAR samt det underliggande tolkningsdokumentet av 12 vilken beskriver OKG:s metodik för analys av skydd mot lokala dynamiska effekter vid rörbrott. OKG:s anmälan innehöll även O3:s analys för uppfyllande av 12 SSMFS 2008:17. Analys och värdering SSM har granskat OKG:s metodik samt analys för uppfyllande av skydd mot lokala dynamiska effekter vid rörbrott. Vid denna granskning har SSM inte kunnat avgöra huruvida OKG uppfyller 12 andra stycket. Detta beror bland annat på att OKG i sin tolkning av denna bestämmelse inför egna begrepp, kriterier samt analysmetoder vilka inte är beskrivna i sådan omfattning att det med klarhet går att följa hur den efterföljande analysen ska utföras. De skiljer sig dessutom från den nomenklatur som används i SSMFS 2008:17. Dessutom finner SSM att OKG, utan dokumenterad motivering, endast har utfört en delmängd av de analyser OKG själva angivit i sin tolkning som sammantaget ska visa på uppfyllnad av 12 SSMFS 2008:17. Strålsäkerhetsmyndigheten Swedish Radiation Safety Authority SE Stockholm Tel: E-post: registrator@ssm.se Solna strandväg 96 Fax: Webb: stralsakerhetsmyndigheten.se

2 Sida 2 (14) Bakgrund Dåvarande Statens kärnkraftinspektion (SKI) beslutade 10 maj 2007 [6], att Oskarshamn 3 skulle vidta åtgärder som följer av ikraftträdande och övergångsbestämmelserna enligt SKIFS 2004:2 om konstruktion och utförande av kärnkraftreaktorer. För 12 beslutades att: en samlad rörbrottsanalys avseende påverkan på inneslutningens säkerhetsfunktion vid postulerade rörbrott, inklusive eventuella åtgärder enligt resultaten från analysen skall vara genomfört, i enlighet med vad som gäller enligt 12, senast den 31 december 2010, OKG AB anmälde 2010, i projekt PULS, en ändring enligt 4 kap. 5 Strålsäkerhetsmyndighetens föreskrifter (SSMFS 2008:1) om säkerhet i kärntekniska anläggningar angående åtgärder av lokala dynamiska effekter av rörbrott. SSM granskade stickprovsvis nämnda anmälan för att bedöma om ändringarna uppfyller kraven definierade i 12 SSMFS 2008:17, som ersatt SKIFS 2004:2. Granskningen dokumenterades i en rapport med diarienummer SSM 2010/3799. SSM bedömde att de tänkbara konsekvenserna från läckage eller rörbrott var väl beskrivna och att de av OKG föreslagna åtgärderna var rimliga för att få tillräckligt skydd mot angivna konsekvenser. Dock framkom det i granskningen att OKG behövde klarställa vilken tolkning av 12 andra stycket SSMFS 2008:17 som gäller för O3 och att detta skulle speglas i säkerhetsredovisningen. OKG inkom därefter med en anmälan till SSM, diarienummer SSM , med reviderad SAR A1 avsnitt 6.4 och 6.5 samt referensrapport till SAR innehållande analys av lokala dynamiska effekter av rörbrott [1] och tolkning och tillämpning av 12 SSMFS 2008:17 [2]. SSM beslutade att granska ärendet för att bedöma huruvida SARuppdateringen dels redovisar OKG:s tolkning av 12, dels om kravet på tålighet mot belastningar i samma bestämmelse uppfylls. Syfte med granskningen och avgränsningar SSM har tidigare stickprovsvis granskat, diarienummer SSM 2010/3799, OKG:s åtgärder mot lokala dynamiska effekter av rörbrott. SSM bedömde att de tänkbara konsekvenserna från läckage eller rörbrott var väl beskrivna och att de av OKG föreslagna åtgärderna var rimliga för att få tillräckligt skydd mot angivna konsekvenser. Dock framkom det i granskningen att OKG behövde klarställa vilken tolkning av 12 andra stycket SSMFS 2008:17 som gäller för O3 och att detta skulle speglas i säkerhetsredovisningen. SSM:s föreliggande granskning har koncentrerats till hur OKG uppfyller kraven på skydd mot lokala dynamiska effekter av ett rörbrott i enlighet med 12 första stycket SSMFS 2008:17. Globala effekter av rörbrott har i allmänhet tagits hänsyn till vid reaktorns konstruktion och har inte närmare granskats i föreliggande rapport. Granskningen omfattar det tolknings- och tillämpningsdokument som beskriver OKG:s metodik för uppfyllande av 12 andra stycket samt OKG:s analys av lokala dynamiska effekter av rörbrott. Även omfattning, inriktning och resultat av OKG:s genomförda säkerhetsgranskning har bedömts i granskningen. Granskningens genomförande Myndighetens process för granskning har följts och granskningen har genomförts av utredare Daniel Kjellin på avdelningen för kärnkraftssäkerhet (K), enheten för strukturintegritet och händelseuppföljning (KI).

3 Sida 3 (14) Krav Strålsäkerhetsmyndighetens föreskrifter om konstruktion och utförande av kärnkraftsreaktorer, 12 SSMFS 2008:17, anger att: Kärnkraftsreaktorn ska vara tålig mot globala och lokala belastningar och andra effekter som kan uppstå vid ett rörbrott. Konsekvenserna av ett rörbrott som inledande händelse, ska analyseras och värderas med avseende på hur sådana effekter påverkar barriärer och de säkerhetsfunktioner som tillgodoräknas vid rörbrottet. I allmänna råd tillhörande 12 anges att: Exempel på globala effekter vid rörbrott är tryck- och temperaturbelastningar i det utrymme där rörbrottet inträffar samt i angränsande utrymmen till vilka tryckavlastning sker, globala vibrationer på grund av kondensationslaster, belastningar på grund av översvämning samt ångströmning inklusive övrig miljöpåverkan. Exempel på lokala dynamiska effekter är rörslag, reaktionskrafter och jetstrålar. Tålighet mot sådana effekter, i synnerhet då ett rörbrott kan medföra att en hel säkerhetsfunktion slås ut, bör åstadkommas genom rörbrottsförankringar, missilskydd eller ändrade rördragningar. Vid analys av vilka åtgärder som behöver vidtas, bör rörbrott antas inträffa där det har betydelse för säkerheten samt där det finns förutsättningar för sådana skador som kan leda till rörbrott, och i enlighet med kriterierna i SRP och Strålsäkerhetsmyndighetens föreskrifter om konstruktion och utförande av kärnkraftsreaktorer, 9 SSMFS 2008:17, anger att: Säkerhetsfunktionerna enligt 3 ska vara tåliga mot enkelfel vid alla händelser till och med händelseklassen osannolika händelser. Vid händelser i händelseklassen mycket osannolika händelser ska de aktiva komponenter som tillhör de konsekvenslindrande systemen vara tåliga mot enkelfel. Strålsäkerhetsmyndighetens föreskrifter om konstruktion och utförande av kärnkraftsreaktorer, 4 SSMFS 2008:17, anger bl.a. att: Vid utformning av reaktorns djupförsvar ska följande konstruktionsprinciper tillämpas i den omfattning som är rimlig och möjlig: (d) Fel i säkerhetsklassad utrustning leder till ett för säkerheten acceptabelt läge. (e) Fel i driftklassad utrustning får inte påverka funktionen hos utrustning med säkerhetsfunktion. Av 4 kap. 2 SSMFS 2008:1 framgår bland annat att: En säkerhetsredovisning ska sammantaget visa hur anläggningens säkerhet är anordnad för att skydda människors hälsa och miljön mot radiologiska olyckor och för att förhindra obehörig befattning med kärnämne eller kärnavfall. En säkerhetsredovisning ska även omfatta en övergripande redogörelse för hur strålskydd upprätthålls vid anläggningen. Redovisningen ska avspegla anläggningen som den är byggd, analyserad och verifierad samt visa hur gällande krav på dess konstruktion, funktion, organisation och verksamhet är uppfyllda. Säkerhetsredovisningen ska minst omfatta den

4 Sida 4 (14) information som framgår av bilaga 2 samt de säkerhetstekniska driftförutsättningarna som anges i 5 kap. 1 första stycket. Förändringar i anläggningen ska värderas utifrån de förhållanden som är angivna i säkerhetsredovisningen. Säkerhetsredovisningen ska hanteras med hänsyn till behovet av sekretess. Vidare framgår av 4 kap. 3 SSMFS 2008:1 om säkerhetsgranskning att: En säkerhetsgranskning enligt bestämmelserna i dessa föreskrifter ska utföras för kontroll av att tillämpliga säkerhetsaspekter är beaktade, och att tillämpliga säkerhetskrav på anläggningens konstruktion, funktion, organisation och verksamhet är uppfyllda. Granskningen ska genomföras på ett allsidigt och systematiskt sätt samt vara dokumenterad. Analys SSM har i utredningsrapport 2008/200 [4] tydliggjort kraven i 12 SSMFS 2008:17 samt hur man kan tolka de tillhörande allmänna råden. Det innebär i korthet att man behöver: 1. postulera områden där rörbrott antas inträffa 2. analysera konsekvenserna av rörbrotten 3. värdera om konsekvenserna är acceptabla och bedöma behov av åtgärder 4. utforma och införa skyddsåtgärder 5. uppdatera säkerhetsredovisningen Vidare anger utredningen att följande riktlinjer kan tillämpas för att uppfylla kraven angående rörbrottspostulat. Rörbrott postuleras: a) i enlighet med Standard Review Plan SRP och inklusive de anvisningar som ges i Branch Technical Position BTP 3-3 respektive 3-4. b) i de positioner i rörsystem i klass 1-3 där det finns hittills kända aktiva skademekanismer c) där det har betydelse för säkerheten Utredningen behandlar även tillämpningen av enkelfelskriteriet, med hänvisning till relevanta paragrafer i SSMFS 2008:17: Anläggningen ska vara tålig mot konsekvenser av rörbrott inkluderande alla dess belastningar och effekter som kan uppstå till följd av rörbrottet (12 ). Tålighet innebär att säkerhetsfunktionerna (3 ) ska klara enkelfel (9 ). Nedan är SSM:s analys av OKG:s redovisning dokumenterad. Analysen behandlar först OKG:s metodik för rörbrottsanalys [2] och därefter OKG:s utförda rörbrottsanalys [1]. Även i rörbrottsanalysen [1] förekommer stycken där OKG utvecklar sin tolkning av och metodik för att uppfylla 12 SSMFS 2008:17. OKG:s metodik I detta stycke redogörs för OKG:s metodik för analys av lokala dynamiska effekter. Godtyckliga rörbrott ansätter OKG i skarvar och andra diskontinuiteter hos högenergirör som giljotinbrott [2]. Godtyckliga rörbrott ska värderas enligt två aspekter. Aspekt I anger att rörbrottet inte får slå ut en hel säkerhetsfunktion. Aspekt II anger att ett rörbrott i RCPB inte direkt får orsaka läckage från reaktorinneslutningen. OKG förtydligar i brev [7] att godtyckliga rörbrott endast ansätts i delar av rörsystem som riskerar skada

5 Sida 5 (14) den analyserade säkerhetsfunktionen eller barriären. Som exempel nämner OKG att vid analys av mellanbjälklaget i reaktorinneslutningen ansätts endast godtyckliga rörbrott i delar av system som kan skada mellanbjälklaget. Deterministiska rörbrott ansätter OKG enligt [2] för att analysera områden där det finns förutsättningar för skador samt i enlighet med kriterierna i SRP och För områden där det finns förutsättningar för skador avgränsar OKG det deterministiska rörbrottspostulatet till endast högenergisystem samt att de där endast ansätter giljotinbrott. Mekaniska anordningar vilka bedöms ha förutsättningar för skador, dvs. en aktiv skademekanism, tilldelas skadeindex 1. För mekaniska anordningar som tilldelats skadeindex 1 postulerar OKG deterministiska rörbrott endast på delar i rörsystem med mekanisk kvalitetsklass 1 3. För de mekaniska anordningar som dessutom tillhör kontrollgrupp A, anser OKG att återkommande kontroll (ÅK) och dess kvalificerade provning ger erforderlig uppföljning på eventuella degraderingar. OKG anser därmed att rörbrott inte behöver postuleras för områden i mekaniska anordningar tillhörande kontrollgrupp A. Deterministiska rörbrott ska precis som godtyckliga rörbrott värderas enligt två aspekter. Aspekt III anger att deterministiska rörbrott ska uppfylla enkelfelskriteriet. Aspekt IV anger att rörbrottet som inledande händelse (händelseklass H3 och H4) inte får medföra ett signifikant allvarligare anläggningstillstånd än vad som accepteras i respektive händelseklass. För att analysera aspekt III och IV utförs källorienterad analys, avsnitt 3.2 [2], vilken enligt deterministiska grunder förutsätter att man bestämmer när, var och hur rörbrottet sker. I avsnitt i [2] anger OKG att de beaktar jetstrålar vid rörbrottsanalys för fyra områden med syfte att bestämma: 1. påkänningar på rör med mindre diameter än det rörsystem som ger upphov till jetstrålen 2. påkänningar på strukturer som utgör del av RI, men är mindre robust än denna, exempelvis genomföringar och slussar. 3. tillbörligt minsta avstånd mellan avståndsseparerad utrustning 4. påkänningar på väggar i syfte att visa att dess bärande förmåga inte påverkas De tre första (1-3) områdena beaktas endast vid analys av rörbrott i reaktorinneslutningen medan det fjärde (4) området endast används vid analys av rörbrott utanför reaktorinneslutningen. I avsnitt i [2] anges hur OKG beaktar rörbrottets påverkan på känslig utrustning med en målorienterad analys. Acceptanskriteriet vid en målorienterad analys är att erforderlig säkerhetsfunktion upprätthålls med hänsyn till enkelfel. OKG anger att: I en första ansats antar man att utrustningen skadas vid i princip godtyckliga brott och läckagesprickor i omgivande högenergirör. Säkerhetsfunktionerna ska upprätthållas med samtidigt beaktande av enkelfel. Detta säkerställer OKG genom att verifiera att säkerhetsmässigt viktig utrustning är tillräckligt redundant och att de redundanta delarna är erforderligt avståndsseparerade. I avsnitt i [2] anger OKG att vid analys av deterministiska rörbrott ska enkelfel ansättas. Däremot ansätts inte enkelfel vid analys av godtyckliga rörbrott. För O3 anges även att vissa anordningar i RI, med säkerhetsfunktion vid rörbrott, underhålls under drift. SSM:s skriver i utredningen 2008/200 [4] att:

6 Sida 6 (14) vid rörbrottspostulat ska enkelfelskriteriet vara uppfyllt såvida inte man kan visa att brottet är extremt osannolikt. OKG anger i [5] att de tolkar SSM:s skrivelse (citerad ovan) som uppfyllt om inga aktiva skademekanismer finns i den aktuella positionen. I sista stycket i avsnitt 3.2 [2], anges att redovisad metodik följer den metodik Westinghouse Atom presenterar i rapport NOG- Säk och Miljö. Generell metodik för hantering av lokala dynamiska effekter vid rörbrott [12]. Därefter anges att man identifierat behov av tillägg till [12] för att den ska uppfylla SSMFS 2008:17, men det framkommer inte huruvida dessa tillägg har inarbetats i dokumentet. OKG refererar inte till sin metodik [2] i SAR kapitel 6.4, rörbrott utanför RI [8]. SSM:s bedömning av OKG:s metodik SSM noterar att den metodik OKG presenterar skiljer sig i de begrepp som används (godtyckliga rörbrott, deterministiska rörbrott), i analyskriterium (aspekt I-IV) samt i de analyser som görs (målorienterad analys, källorienterad analys) från det SSM anger i 12 SSMFS 2008:17 med tillhörande allmänna råd. SSM kan av underlaget tolka hur godtyckliga- och deterministiska rörbrott postuleras samt hur analyskriterierna används. Dock framgår det inte av underlaget vad analysmetoderna (mål- och källorienterad) tillför som inte redan definierats och avgränsats av vald rörbrottspostulatmetod samt analyskriterier. SSM anser därför att OKG antingen bör använda de definitioner och principer som framgår av myndighetens föreskrifter eller med tydlighet i underlaget visar på att en minst likvärdig nivå av strålsäkerhet uppnås. SSM noterar att det granskade dokumentet [2], vilken är en referensrapport till OKG:s säkerhetsredovisning, inte har genomgått primär- eller fristående säkerhetsgranskning (PSG respektive FSG) enligt 4 kap. 3 SSMFS 2008:1. I allmänna råd tillhörande 12 SSMFS 2008:17, anger SSM att rörbrott bör postuleras där det har betydelse för säkerheten. SSM bedömer att OKG:s begrepp godtyckliga rörbrott syftar till att motsvara denna skrivelse. Den stora skillnaden är att OKG avgränsar sin analys av godtyckliga rörbrott till endast högenergisystem samt att de inte påvisar samtidig uppfyllnad av enkelfelskriteriet. SSM har i utredningen 2008/200 [4] bedömt det acceptabelt att rörbrott inte behöver postuleras för områden i kontrollgrupp A som provas till 100 % med kvalificerade provningsmetoder och med intervall bestämda via skadetålighetsanalyser. SSM noterar att OKG beaktar jetstrålar för fyra utpekade områden där de tre första (1-3) endast används inom reaktorinneslutningen (RI) medan det fjärde (4) endast används utanför RI. Det framgår inte av metodiken [2] vilka grunder som stödjer en sådan avgränsning. SSM ställer sig frågande till varför OKG inte beaktar område 1-3 även utanför RI och anser att OKG behöver förtydliga och motivera detta i [2] och/eller inkludera dessa områden i analysen [1]. Då OKG beskriver analys av känslig utrustning anger de att i en första ansats antar man att utrustningen skadas vid i princip godtyckliga brott och läckagesprickor i omgivande högenergirör. SSM anser att OKG här behöver förtydliga sin metod, då man refererar till en första ansats men sedan inte beskriver en fortsatt ansats. Dessutom ställer sig SSM vid genomgång av [2] frågande till varför inte rörbrott och/eller

7 Sida 7 (14) läckagesprickor postuleras i lågenergirör men OKG förklarar vid möte [5] att de i samtliga fall med känslig utrustning identifierat dimensionerande rörbrottspostulat i högenergistråk. SSM anser att OKG ska dokumentera detta i [2], så att det framgår av metodiken att ett dimensionerande postulat ska identifieras, oavsett om det är i ett hög- eller lågenergistråk. SSM kan av underlaget inte entydigt utläsa vid vilka fall OKG analyserar rörbrott med avseende på lokala dynamiska effekter med samtidigt beaktande av enkelfel. OKG:s beskrivning av detta för känslig utrustning kan tjäna som exempel. SSM tolkar OKG:s metodik som att känslig utrustning analyseras med målorienterad analys (enkelfel beaktas, giljotinbrott och läckagesprickor i högenergirör ansätts), där ett godtycklig rörbrott postuleras (enkelfel beaktas inte, endast giljotinbrott i högenergirör ansätts). OKG:s metodik är otydlig på denna punkt. SSM anser att OKG behöver förtydliga sin metodik så att det entydigt framgår i vilka analyserade fall enkelfel postuleras och för vilka fall enkelfel inte postuleras. Det bör framgå argument som underbygger OKG:s valda metod. Redovisningen SSM efterfrågar behöver även tydliggöra om skillnad i ansättning av enkelfel görs vid rörbrottsanalys av system som underhålls under drift. SSM vill även påpeka att säkerhetsfunktioner enligt 9 SSMFS 2008:17 ska vara tåliga mot enkelfel vid alla händelser till och med händelseklassen osannolika händelser (H4). SSM har i tidigare granskning [10] bedömt att man kan påvisa att rörbrott (giljotinbrott) för en viss position är extremt osannolik genom att på ett övertygande sätt påvisa frånvaron av aktiva skademekanismer vid aktuell position. Därmed anser SSM att OKG inte behöver uppfylla enkelfelskriteriet vid rörbrottspostulat för positioner där OKG verifierat frånvaron av aktiva skademekanismer. SSM noterar att OKG i dokument [2], sista stycket i avsnitt 3.2, anger att redovisad metodik följer [12]. Därefter anges att man identifierat behov av tillägg till [12] för att den ska uppfylla SSMFS 2008:17, men det framkommer inte huruvida dessa tillägg har inarbetats i dokumentet och således framgår det inte heller hur OKG själva anser att redovisad metodik [2] följer 12 SSMFS 2008:17. SSM anser att OKG ska åtgärda detta. OKG:s rörbrottsanalys En plant walk down har genomförts på O3:s systeranläggning Forsmark 3, avsnitt 1.4 [1], av vilka slutsatserna tillämpas i OKG:s analyser. OKG redovisar sin analys av lokala dynamiska effekter i referensrapport till SAR [1]. Kortfattat presenteras de utförda analyserna och dess omfattning i kapitel 2 [1] enligt följande: i avsnitt 2.2 anges att en del av utförd rörbrottsanalys är analys av godtyckliga rörbrott. I avsnitt 2.3 anges att skalventiler analyseras i separat rapport. I avsnitt 2.4 anges att vid målorienterad analys identifieras känslig utrustning som krediteras vid rörbrott och det undersöks i första hand huruvida avståndsseparation är tillfyllest som skydd mot jetstrålars utbredning. I avsnitt 2.5 anges att vid analys av lokala dynamiska effekter enligt källorienterad analys betraktas konsekvenserna som följdfel i säkerhetsanalysen. I avsnitt 6 förklaras närmare att källorienterad analys beaktar inverkan av rörslag på andra processrör och dess följdpåverkan. I avsnitt 2.6 redogör OKG för hur antaganden om enkelfel, följdfel och underhåll under drift ansätts. För exempelvis system 322 (sprinklersystem för reaktorinneslutningen) antas två av fyra stråk fungera, och för system 323

8 Sida 8 (14) (lågtryckshärdnödkylning) och 327 (hjälpmatarvatten) antas ett av fyra stråk fungera, då rörbrott postuleras. I avsnitt 3 i [1] behandlas godtyckliga rörbrott. Först ges en kort förklaring i avsnitt 3.1 i [1], som bl.a. redogör att endast primärutrymmet och dess högenergisystem analyseras för godtyckliga rörbrott. Att endast primärutrymmet i RI analyseras anger OKG beror på att det är där högenergisystemen finns installerade. Dessutom anger OKG att enkelfel eller andra försvårande antaganden inte beaktas. OKG har redogjort, [5], att formuleringen andra försvårande antaganden i förekommande fall betyder att de vid en inledande händelse förutsätter att all utrustning är driftklar. OKG redovisar sin analys av godtyckliga rörbrott i avsnitt 3.2 i [1]. OKG anger i avsnitt 1.2 [1] sin tolkning av formuleringen en hel säkerhetsfunktion från allmänna råd till 12. OKG tolkar detta som att skydd mot lokala dynamiska effekter ska införas om säkerhetsfunktionen förloras direkt och att enkelfelstålighet inte krävs. Analys av rörbrott i skalventilområdet behandlar OKG i en annan rapport [13] vilken inte ingått i föreliggande granskning. I avsnitt 2 och 4 i [1] redovisar OKG kortfattat sin metod för rörbrottsanalys av inre och yttre skalventiler. O3 har en inre och en yttre skalventil på respektive huvudångledningsstråk vars syfte är att vidmakthålla reaktorinneslutningens integritet i händelse av inre eller yttre rörbrott. Då O3:s utformning inte klarar ett postulerat rörbrott i genomföringsområdet med samtidig ansättning av enkelfel så har OKG redovisat kravuppfyllnad enligt BTP 3-4 med bl.a. krav på att svetskarvar i genomföringsområdet tillförts kontrollgrupp A, vilket innebär 100 % provning, enligt [5]. OKG anger i [5] att genomföringar numera tillförs kontrollgrupp A, med undantaget för 50>DN>100 med skadeindex III som tillförs kontrollgrupp B. I avsnitt 5 redovisar OKG den målorienterade analysen, som omfattar system med känslig utrustning vars funktion tillgodoräknas i säkerhetsanalysen efter ett rörbrott i primärsystemet i reaktorinneslutningen. OKG nämner följande system med känslig utrustning: 211/536 inklusive 322, 314, , 354 och 221 inklusive kablage till HCpumpar, 583 samt skalventiler i övriga system. OKG redovisar analys av skydd mot lokala dynamiska effekter för nämnda system. I avsnitt 6 redovisar OKG den källorienterade analysen, där inverkan av rörslag på andra processrör analyseras. OKG beaktar i sin analys endast inverkan av brottflödet från den postulerade rörbrottspositionen, inte inverkan av det tillkommande brottflödet från ett påverkat (avslaget) processrör. OKG baserar detta ställningstagande på en utförd robusthetskontroll av tillkommande brottflöde vid en LOCA, vars resultat visar att erforderlig härdkylning erhålls samt att trycket i RI är inom tillåtna marginaler. OKG anger vid möte [5] att ett deterministiskt rörbrott endast ansätts om analysen av ett godtyckligt rörbrott visar att det behövs. OKG:s analys av godtyckliga rörbrott visar att inget rörbrott i ett högenergisystem riskerar slå ut en hel säkerhetsfunktion. Med anledning av detta har OKG inte postulerat deterministiska rörbrott i sin analys [1]. I tabell 1 i [1] anger OKG att godtycklig rörbrottsanalys visar att lokala dynamiska effekter, specifikt jetstrålar, kan skada sprängbleck i system 361 (tryckavsäkring av reaktorinneslutning direkt till fri atmosfär) och 362 (kontrollerad tryckavlastning via avskiljningsanordning) men att OKG ej anser detta likvärdigt med förlust av barriär. OKG redovisar sin källorienterade analys av lokala dynamiska effekter för sprängblecken i avsnitt i [1] där de med resonemang kring avståndsseparation, sprängblecken sitter i RI-taket en bit in i varsin genomföring, konstaterar att sprängblecken i system 361 och 362 uppfyller kraven för skydd mot lokala dynamiska effekter.

9 Sida 9 (14) OKG analyserar även lokala dynamiska effekter av rörbrott utanför RI i avsnitt 7 i [1]. OKG förklarar att de använder en källorienterad analys avgränsad till högenergisystem. I OKG:s metod [2] beskrivs källorienterad analys, avsnitt 3.2, som analys av rörslag och direkta jetstrålar som kan knytas till ett visst brottställe som utgör källan. Denna typ av analys förutsätter alltså att man kan bestämma var/när/hur rörbrottet sker och den tillämpas därför normalt vid analys avseende aspekt III och IV. OKG listar i avsnitt 7.1 de säkerhetsfunktioner och barriärer som angränsar till högenergisystemen och konstaterar att känslig utrustning samt byggnadsdelar behöver vidare analys. I avsnitt 7.2 används en målorienterad analys för att undersöka om befintlig avståndsseparation av den känsliga utrustningen, som identifierades i avsnitt 7.1, är tillräcklig så att postulerade jetstrålar inte slår ut en säkerhetsfunktion. OKG bedömer att avståndsseparationen inte är tillräcklig men att analyserad utrustning har en fail-safe funktion som säkerställer att säkerhetsfunktion vidmakthålls. I avsnitt 7.3 analyseras reaktorbyggnadens bärighet med avseende på ett dimensionerade rörbrottspostulat. OKG konstaterar att de uppfyller 12 för rörbrott utanför RI. I SAR kapitel 6.5, rörbrott i primärsystemet i RI, [9], refererar OKG endast i avsnitt till utförd analys av lokala dynamiska effekter enligt 12 SSMFS 2008:17 och konstaterar att anläggningen uppfyller ställda krav. SSM:s bedömning av OKG:s rörbrottsanalys SSM noterar att OKG inte gjort en plant walk down på O3, utan tillämpar resultat från en plant walk down på systeranläggningen F3. De båda systeranläggningarna är konstruerade efter, i stort sett identiskt, ritningsunderlag. Men vid uppförande, tillverkning, montage samt eventuell ombyggnation kan skillnader mellan anläggningarna uppstå. Exempelvis har ett stort moderniseringsprojekt av O3 gjort att dess effektkapacitet nu överstiger F3:s. SSM anser att det åligger OKG att basera sina analyser på underlag från sin egen anläggning, så att OKG själva kan kvalitetssäkra både analysunderlag och resultat. SSM noterar att det granskade dokumentet [1], vilket är referensrapport till OKG:s säkerhetsredovisning, inte har genomgått primär- eller fristående säkerhetsgranskning (PSG respektive FSG) enligt 4 kap. 3 SSMFS 2008:1. SSM noterar att OKG inte genomfört deterministisk rörbrottsanalys. Med anledning av att OKG anger att analys av godtyckliga rörbrott och analys av skalventilområdet inte analyseras med samtidigt beaktande av enkelfel, är det oklart för vilka analyser antagande om enkelfel, följdfel och underhåll under drift, vilka kortfattat beskrivs i avsnitt 2.6, appliceras. SSM kan inte av bedömt underlag avgöra huruvida kravet på enkelfelstålighet enligt 9 SSMFS 2008:17 är uppfyllt och anser därmed att OKG behöver åtgärda detta i sin redovisning. Det råder samsyn mellan SSM och OKG i att man kan påvisa att rörbrott (giljotinbrott) för en viss position är extremt osannolik genom att på ett övertygande sätt påvisa frånvaron av aktiva skademekanismer vid aktuell position. Med en sådan redovisning anser SSM att OKG inte behöver uppfylla enkelfelskriteriet vid rörbrottspostulat av giljotinbrott för positioner där OKG verifierat frånvaron av aktiva skademekanismer. Dock saknas en sådan redovisning i OKG:s analys varvid SSM inte kan bedöma huruvida OKG:s antagande om enkelfel enligt 9 SSMFS 2008:17 är rimliga eller inte. SSM anser därför att OKG behöver komplettera sitt underlag i detta avseende. OKG redovisar en övergripande analys av godtyckliga rörbrott i avsnitt 3.2 vars resultat baseras på mer eller mindre dokumenterade ingenjörsmässiga bedömningar. Som ett

10 Sida 10 (14) exempel på det senare anger OKG för mellanbjälklaget att syftet här är att visa att rörslag mot mellanbjälklaget inte ger större skada än vad som motsvarar ett avslaget rör i system 316". OKG förklarar inte närmare varför nämnda syfte är dimensionerande, men konstaterar att trots rörbrottsförankringar och ett skyddande och ej tryckbärande golv över mellanbjälklaget så kan inte krosskador från rörslag uteslutas. Utan att kvantifiera en eventuell dimensionerande krosskada drar OKG slutsatsen att det är dock troligt att dessa inte medför större läckage än ett brustet 316-rör. Dessutom anger OKG i SAR kapitel 6.5 [9] att ett stort ångledningsbrott (system 311) i RI i kombination med maximalt brott på ett nedblåsningsrör (system 316) klassas som en H5-händelse (svåra haverier). SSM förstår inte på vilka grunder OKG tillåter konsekvenser som motsvaras av svåra haverier vid analys av skydd mot lokala dynamiska effekter. SSM saknar de underbyggande resonemang eller analyser som stödjer sådana slutsatser i underlaget och OKG behöver åtgärda detta i [1]. SSM anser att OKG:s tolkning i avsnitt 1.2 [1] av skrivelsen en hel säkerhetsfunktion i allmänna råd till 12 är bristfällig i två avseenden: 1. OKG anger att skydd mot lokala dynamiska effekter ska införas om en säkerhetsfunktion förloras direkt. SSM bedömer att säkerhetsfunktionen ska säkerställas under den tid det krävs för att bringa kärnkraftsreaktorn till säkert läge, i enlighet med de förutsättningar som tillgodoräknas i säkerhetsanalysen. Därför ska analys av behov av skydd mot lokala dynamiska beaktas för hela den tidsperiod som krediteras i säkerhetsanalysen. 2. OKG anser att enkelfelstålighet inte krävs för att visa att en hel säkerhetsfunktion inte vedervågas. SSM delar inte OKG:s uppfattning. Enkelfelstålighet enligt 9 SSMFS 2008:17 ska vara uppfyllt såvida inte tillståndshavaren kan visa att brottet är extremt osannolikt, [4]. Ett extremt osannolikt rörbrott innebär att röbrottsfrekvensen för rörsegmentet är så låg att den kan hänföras till en restrisk. SSM anser att OKG behöver åtgärda dessa brister i sitt underlag. Ytterligare vägledning kan hämtas i SSM utredningsrapport SSM 2008/200. OKG:s redovisade hantering av genomföringsområdet är i enlighet med SSM:s riktlinjer för tillräckligt skydd mot rörbrott, [4]. SSM anser dock att OKG behöver uppdatera [1] och/eller [2] så att kontrollgruppsindelningen framgår. SSM anser att OKG i avsnitt 5, målorienterad analys, på ett systematiskt sätt anger vilka system som innehåller känslig utrustning samt redovisat dess skydd mot lokala dynamiska effekter på ett transparant sätt. SSM anser, till skillnad från OKG, att ett följdfel ska ingå i den sammantagna analysen av den inledande händelsen. Exempelvis ska ett tillkommande brottflöde från ett påverkat (avslaget) processrör på grund av ett rörbrott som inledande händelse adderas till det initiala brottflödet och ingå i analysen av lokala dynamiska effekter enligt 12. Om det postulerade rörbrottet och dess initiala lokala dynamiska effekter leder till att andra brottflöden (ex jetstrålar) kan tillkomma, ska dessa behandlas som en effekt av det inledande rörbrottet och ingår således i de lokala belastningar som kan uppstå. OKG:s argument för att inte beakta inverkan från tillkommande brottflöden, exempelvis acceptabel nivå på tryck i RI, är vad SSM i allmänna råd till 12 definierar som en global effekt. SSM anser att OKG ska beakta samtliga lokala dynamiska effekter vid analys av uppfyllande av 12 och OKG behöver således revidera sitt underlag med avseende på detta. SSM syn överensstämmer på denna punkt med övriga västerländska myndigheters syn. Exempelvis framgår det av WENRA:s harmoniseringsprojekt [11], Issue E: Design

11 Sida 11 (14) Basis Envelope for Existing Reactors, punkt 8.6, att följdfel ska betraktas som en del av den ursprungliga postulerade händelsen. SSM noterar att OKG inte har postulerat deterministiska rörbrott, dvs. OKG har inte analyserat rörbrott i enlighet med kriterierna i SRP och OKG:s argument för detta är att resultatet av analys av godtyckliga rörbrott i högenergisystem visar att det inte finns analyserade rörbrottspositioner som riskerar slå ut en hel säkerhetsfunktion [5]. SSM finner inte att detta tillvägagångssätt framgår av metodiken [2] och ej heller i analysen [1] och anser att OKG behöver åtgärda detta. En skillnad mellan godtyckliga- och deterministiska rörbrott är att vid den senare analyseras förutom fixpunkter och diskontinuiteter även områden där spänning eller utmattningsutnyttjande är relativt hög, i både hög- och lågenergisystem. OKG:s analys av godtyckliga rörbrott har avgränsats till endast högenergisystem utan samtidigt beaktande av enkelfelskriteriet. SSM anser att OKG:s avgränsning inte är förenlig med syftet med 12 och att OKG behöver postulera rörbrott i enlighet med kriterierna i SRP och SSM anser att obefogad öppning av sprängbleck i system 361 och 362 ska likställas med förlust av barriär. Vidare framkommer det inte om det är analysmetoden (godtyckligkontra källorienterad analys) som ger skilda slutsatser eller huruvida OKG anser att den ena slutsatsen väger tyngre än den andra. SSM anser att OKG behöver åtgärda detta. För analys av rörbrott utanför RI anger OKG att de använder aspekt III, aspekt IV och källorienterad analys. SSM gör tolkningen att OKG:s beskriver deterministisk rörbrottsanalys och att ovanstående begrepp tillsammans syftar till att vara likvärdiga med nedanstående två strecksatser i allmänna råd till 12, att rörbrott postuleras: a) i enlighet med Standard Review Plan SRP och inklusive de anvisningar som ges i Branch Technical Position BTP 3-3 respektive 3-4. b) i de positioner i rörsystem i klass 1-3 där det finns hittills kända aktiva skademekanismer. SSM förväntar sig därmed att OKG:s analys av rörbrott ska följa SRP och samt att en utförlig genomgång av de rörpositioner där hittills kända aktiva skademekanismer samt tillhörande rörbrottspostulat ska finnas i analysen. Inget av detta återges i [1]. I avsnitt 7.1 identifierade OKG känslig utrustning med en källorienterad analys, sedan analyserades den känsliga utrustningen med en målorienterad analys. OKG motiverar inte detta tillvägagångssätt. Det framgår inte av redovisningen huruvida andra resultat hade erhållits om den målorienterade analysen utfördes utan att omfattningen avgränsats av annan analysmetod innan. OKG konstaterar själva att källorienterad analys förutsätter att positionen för rörbrottet anges, men trots detta gör OKG endast en värdering i avsnitt 7.3 av vilka rörbrott som riskerar att slå ut en hel säkerhetsfunktion, vilket SSM bedömer snarare motsvarar en godtycklig rörbrottsanalys. Dessutom anger OKG i avsnitt 7.3 att endast högenergirör undersöks, vilket inte överensstämmer med kriterierna i SRP och SSM anser att OKG:s redovisning är otydlig med avseende på detta. SSM kan därmed inte bedöma huruvida genomförda analyser av rörbrott utanför RI uppfyller kraven enligt 12 SSMFS 2008:17. SSM anser att OKG behöver åtgärda detta. Sammanfattningsvis anser SSM att OKG i sin analys av lokala dynamiska effekter [1] genomgående brister i att föra fram de motiv, resonemang och underliggande analyser som stödjer de avgränsningar OKG gör i förhållande till syftet med 12 SSMFS 2008:17.

12 Sida 12 (14) Samlad bedömning Enligt 4 kap. 2 SSMFS 2008:1 framgår att säkerhetsredovisningen ska avspegla anläggningen som den är byggd, analyserad och verifierad samt visa hur gällande krav på dess konstruktion, funktion, organisation och verksamhet är uppfyllda. Det framgår vidare av samma föreskriftsparagraf att säkerhetsredovisningen ska genomgå primär- och fristående säkerhetsgranskning. Av bilaga 2 till bestämmelserna i 4 kap. 2 framgår att till säkerhetsredovisningen hör de utredningar, analyser och andra underlagsrapporter som har betydelse för att visa hur gällande krav uppfylls. Både [1] och [2] är underlagsrapporter till SAR, vilka redovisar hur anläggningen är analyserad samt metod som beskriver hur verifieringen uppfyller SSMs krav. Detta innebär att dessa rapporter ska genomgå säkerhetsgranskning, vilket OKG behöver åtgärda. SSM anser att anläggningsvis värdering ska baseras på underlag från berörd anläggning. SSM anser därför att OKG:s analyser företrädesvis ska baseras på underlag som kommer från plant walk down på den analyserade anläggningen. OKG behöver åtgärda detta i [1]. SSM noterar att den metodik OKG presenterar skiljer sig i de begrepp som används (godtyckliga rörbrott, deterministiska rörbrott), i analyskriterium (aspekt I-IV) samt i de analyser som görs (målorienterad analys, källorienterad analys) från det SSM anger i 12 SSMFS 2008:17 med tillhörande allmänna råd. SSM har i utredningsrapport [4] tydliggjort kraven i 12 SSMFS 2008:17 samt de tillhörande allmänna råden. För att uppfylla kraven angående rörbrottspostulat ska rörbrott postuleras: a) i enlighet med Standard Review Plan SRP och inklusive de anvisningar som ges i Branch Technical Position BTP 3-3 respektive 3-4. b) i de positioner i rörsystem i klass 1-3 där det finns hittills kända aktiva skademekanismer c) där det har betydelse för säkerheten Av föreliggande granskning av OKG:s metodik [2] gör SSM bedömningen att punkt a) ovan beskriver OKG som deterministiskt rörbrott. Punkt b) beskriver OKG som deterministiskt rörbrott med avgränsningen att endast högenergisystem beaktas och giljotinbrott postuleras. Punkt c) beskriver OKG som godtyckligt rörbrott med skillnaden att endast högenergisystem beaktas samt att OKG inte visar samtidigt uppfyllande av enkelfelskriteriet. SSM anser att OKG genomgående brister i att föra fram de motiv, resonemang och underliggande analyser som stödjer de avgränsningar OKG gör i förhållande till syftet med 12 SSMFS 2008:17. Detta behöver OKG åtgärda så att det framgår av metodiken hur man tolkar 12 samt vilka analyser som ska utföras för att utvärdera anläggningens skydd mot lokala dynamiska effekter. Barriärer och säkerhetsfunktioner definierade i 3 SSMFS 2008:17 ska analyseras och värderas med avseende på konsekvenserna av ett rörbrott som inledande händelse, enligt 12 samma föreskrift. Säkerhetsfunktionerna enligt 9, samma föreskrift, ska vara tåliga mot enkelfel. SSM anser att OKG:s rörbrottsanalys brister i att redovisa hur dessa krav är analyserade och huruvida de är uppfyllda. OKG behöver åtgärda detta. OKG har endast analyserat godtyckliga rörbrottspostulat i primärutrymmet och dess högenergisystem utan samtidigt beaktande av enkelfel eller andra försvårande antaganden. OKG konstaterar att utförd analys av godtyckliga rörbrott visar att ingen analyserad säkerhetsfunktion eller barriär vedervågas. Med anledning av att OKG anger att analys av godtyckliga rörbrott inte analyseras med samtidigt beaktande av enkelfel, är det oklart för vilka analyser antagande om enkelfel, följdfel och underhåll under drift beaktas, vilka

13 Sida 13 (14) kortfattat beskrivs i avsnitt 2.6. SSM har i sin granskning funnit att OKG:s redovisning inte visar hur anläggningen uppfyller gällande krav, enligt 4 kap. 2 SSMFS 2008:1, och OKG behöver därför åtgärda detta så att uppfyllnad av 9 och 12 SSMFS 2008:17 tydligt framgår. OKG har avgränsat analys av skydd mot lokala dynamiska effekter till högenergisystem, men SSM saknar en redogörelse för vilka säkerhetsfunktionen som är installerade i utrymmen där lågenergisystem finns. SSM anser att en sådan avgränsning inte kan motiveras utan en redogörelse för vilka säkerhetsfunktioner som är installerade i utrymmen där endast lågenergisystem finns samt en redogörelse för frånvaron av aktiva skademekanismer hos dessa lågenergisystem. OKG behöver uppdatera underlaget i detta avseende. Det råder samsyn mellan SSM och OKG i att man kan påvisa att rörbrott (giljotinbrott) för en viss position är extremt osannolik genom att på ett övertygande sätt påvisa frånvaron av aktiva skademekanismer vid aktuell position. Med en redovisning av positioner där OKG verifierat frånvaron av aktiva skademekanismer anser SSM att OKG inte behöver uppfylla enkelfelskriteriet vid rörbrottspostulat av giljotinbrott. Dock saknas en sådan redovisning i OKG:s analys varvid SSM inte kan bedöma huruvida OKG:s antagande om enkelfel enligt 9 SSMFS 2008:17 är rimliga eller inte. Om redovisningen av frånvaron av aktiva skademekanismer saknas för att inga sådana positioner finns, ska åtminstone det framgå av underlaget. SSM anser att OKG behöver revidera underlaget i detta avseende. OKG:s redovisade hantering av genomföringsområdet är i enlighet med SSM:s riktlinjer för tillräckligt skydd mot rörbrott, [4]. SSM saknar OKG:s redovisning av de positioner där skydd mot lokala dynamiska effekter tidigare installerats, exempelvis rörbrottsförankringar. OKG behöver uppdatera underlaget med avseende på detta så att det framgår hur kravet enligt 12 SSMFS 2008:17 är uppfylld. SSM anser att då ett postulerat rörbrott, som inledande händelse, leder till följdfel så ska det betraktas som en del av den ursprungliga postulerade händelsen. OKG behöver revidera underlaget i detta avseende. Sammanfattningsvis konstaterar SSM att det finns oklarheter och brister i såväl OKG:s redovisning som i genomförda analyser för att visa på kravuppfyllnad. SSM vill därför i detta sammanhang påminna om allmänna råd till 4 kap. 2 SSMFS 2008:1 där myndigheten bl.a. påpekar att det i en anläggnings säkerhetsredovisning behöver finnas en god spårbarhet hela vägen mellan redovisningens uppgifter om gällande krav, över beskrivningen av hur kraven efterlevs till de utredningar och analyser som bekräftar att krav faktiskt uppfylls.

14 Sida 14 (14) Referenser [1] SEI utgåva 1, Oskarshamn 3 Referensrapport till SAR SSMFS 2008: Analys av lokala dynamiska effekter av rörbrott [2] SEI utgåva 2.0, Oskarshamn 1, 2 och 3. Tolkning och tillämpning av SSMFS 2008:17 12 avseende lokala dynamiska effekter [3] SKI , Genomförande av åtgärder enligt Statens kärnkraftinspektions föreskrifter (SKIFS 2004:2) om konstruktion och utförande av kärnkraftreaktorer med avseende på kärnkraftreaktorn Oskarshamn 3. [4] SSM 2008/200, Riktlinjer för analys av skydd mot rörbrott i kärnkraftanläggningar [5] Möte OKG-SSM , Hantering av 12 i SSMFS 2008:17. SSM Dnr SSM [6] SKI 2005/1405 beslut 10 maj 2007, Genomförande av åtgärder enligt Statens kärnkraftinspektions föreskrifter (SKIFS 2004:2) om konstruktion och utförande av kärnkraftreaktorer med avseende på kärnkraftreaktorn Oskarshamn 3 [7] utgåva 1, Oskarshamn 3 svar på SSMs frågor angående SEI rev 1. SSM Dnr SSM [8] utgåva 7, Oskarshamn 3 Säkerhetsrapport kapitel 6 avsnitt 6.4 Rörbrott utanför reaktorinneslutningen i rör trycksatta av reaktorns primärsystem [9] utgåva 8, Oskarshamn 3 Säkerhetsrapport kapitel 6 avsnitt 6.5 Rörbrott i primärsystemet i reaktorinneslutningen [10] SSM 2010/807, Granskning av tillståndshavarnas uppfyllande av kraven i 12-13, SSMFS 2008:17 [11] WENRA (Western European Nuclear Regulators Association) Reactor Harmonization Working Group, WENRA Reactor Safety Reference Levels January [12] Westinghouse Atom Rapport SEP NOG- Säk och Miljö. Generell metodik för hantering av lokala dynamiska effekter vid rörbrott [13] Westinghouse Electric Sweden Rapport WPULS , rev 1 Oskarshamn 3 Projekt Puls, Rörbrott i skalventilområdet