EPÄVARMUUSTARKASTELUN SOVELTAMINEN DETERMINISTISISSÄ TURVALLISUUSANALYYSEISSÄ

LAPPEENRANNAN TEKNILLINEN YLIOPISTO Teknillinen tiedekunta LUT Energia Ympäristötekniikan koulutusohjelma Ellen Hakala EPÄVARMUUSTARKASTELUN SOVELTAMINEN DETERMINISTISISSÄ TURVALLISUUSANALYYSEISSÄ Työn tarkastajat: Työn ohjaaja: Professori Risto Soukka Professori Riitta Kyrki-Rajamäki Toimistopäällikkö Risto Sairanen

TIIVISTELMÄ Lappeenrannan teknillinen yliopisto Teknillinen tiedekunta LUT Energia Ympäristötekniikan koulutusohjelma Ellen Hakala Epävarmuustarkastelun soveltaminen deterministisissä turvallisuusanalyyseissä Diplomityö 2013 113 sivua, 30 kuvaa, 13 taulukkoa ja 3 liitettä Tarkastajat: Professori, TkT Risto Soukka Professori, TkT Riitta Kyrki-Rajamäki Ohjaaja: Toimistopäällikkö, TkL Risto Sairanen Hakusanat: epävarmuustarkastelu, deterministinen turvallisuusanalyysi, tilastollinen analyysi, konservatiivinen analyysi, parhaan arvion menetelmä Tässä diplomityössä esitetään selvitys käytössä olevista deterministisistä turvallisuusanalyysimenetelmistä. Deterministisillä turvallisuusanalyyseillä arvioidaan ydinvoimalaitosten turvallisuutta eri käyttötilojen aikana. Voimalaitoksen turvallisuusjärjestelmät mitoitetaan deterministisen turvallisuusanalyysin tulosten perusteella. Deterministiset turvallisuusanalyysit voidaan laatia konservatiivista tai tilastollista menetelmää käyttäen. Konservatiivinen menetelmä pyrkii mallintamaan tarkasteltavan tilanteen siten, että laitoksen todellinen käyttäytyminen on hyvällä varmuudella lievempää kuin analyysitulos. Konservatiivisessa menetelmässä analyysin epävarmuudet huomioidaan konservatiivisilla oletuksilla. Tilastollinen menetelmä perustuu parhaan arvion menetelmään eli pyrkimykseen mallintaa laitoksen käyttäytyminen mahdollisimman todenmukaisesti. Tilastollisessa menetelmässä analyysin epävarmuudet määritetään systemaattisesti tilastomatematiikan keinoin. Työssä painotetaan tilastollisen analyysin epävarmuuksien määritykseen käytettäviä epävarmuustarkastelumenetelmiä. Diplomityön laskennallisessa osassa vertaillaan deterministisen turvallisuusanalyysin laadintaan käytettäviä menetelmiä termohydraulisen turvallisuusanalyysiesimerkin laskennan kautta. Laskennassa tarkasteltavana onnettomuutena on Olkiluoto 3- laitosyksikössä tapahtuva primäärijäähdytepiirin putkikatkosta aiheutuva jäähdytteenmenetysonnettomuus. Lasketun esimerkkitapauksen perusteella tilastollista ja konservatiivista menetelmää voidaan pitää vaihtoehtoisina turvallisuusanalyysin laadintaan. Molemmat analyysit tuottivat hyväksyttäviä ja toisilleen verrannollisia tuloksia, joiden suuruusluokka on sama.

ABSTRACT Lappeenranta University of Technology Faculty of Technology LUT Energy Environmental Technology Ellen Hakala Uncertainty Evaluation in Deterministic Safety Analyses Master s Thesis 2013 113 pages, 30 figures, 13 tables and 3 appendices Examiners: Professor, D.Sc. (Tech.) Risto Soukka Professor, D.Sc. (Tech.) Riitta Kyrki-Rajamäki Supervisor: Section head, Lic.Sc. (Tech.) Risto Sairanen Key words: uncertainty evaluation, deterministic safety analysis, best estimate method, conservative analysis, BEU-method This master s thesis presents a review of deterministic safety analysis methods. Deterministic safety analyses are used to evaluate the safety of nuclear plants in all operating conditions. Safety systems in nuclear power plants are designed based on the results of deterministic safety analyses. The deterministic safety analysis approaches are the so-called conservative method and the so-called best estimate plus uncertainty method. The objective of the conservative safety analysis method is to model the accident in such a way, that the analysis results are with high confidence more severe than the behavior of power plant. The uncertainties of analysis are taken into account with conservative input values and assumptions. Best estimate analysis models the behavior of the plant as realistic as possible, using realistic input values and assumptions. With this method the uncertainties of safety analysis are evaluated systematically with uncertainty methods, which are based on mathematical statistics. This thesis concentrates in methods that are used to evaluate the uncertainties of best estimate plus uncertainty approach of safety analyses. In the calculation part of thesis the different approaches of deterministic safety analysis are compared with a thermohydraulic accident analysis example. Calculated loss of a coolant accident is a rupture in a medium size primary coolant pipe in Olkiluoto 3 - plant. Based on the application example, the conservative method and the best estimate plus uncertainty method can be alternatively applied for deterministic safety analyses. Both methods produced acceptable and comparable results with the same order of magnitude.

ALKUSANAT Diplomityöni on tehty Säteilyturvakeskuksen Ydinvoimalaitosten valvonta -osaston Reaktori- ja turvallisuusjärjestelmät -toimistossa. Työni ohjauksesta haluan kiittää toimistopäällikkö Risto Sairasta. Lisäksi kiitos kuuluu koko REA:lle, erityisesti työn laskennallisessa osassa minua auttaneille Eero Virtaselle sekä Petteri Suikkaselle. Kiitos työni tarkastajille, professori Risto Soukalle sekä professori Riitta Kyrki- Rajamäelle. Lämmin kiitos kuuluu perheelleni sekä suvulleni kaikesta siitä tuesta ja kannustuksesta, jota olen saanut. Ilman kunnon taustajoukkoja ei tästäkään olisi tullut mitään. Kiitos mahtavasta opiskeluajastani kaikille niille teekkareille, etenkin Pelletin ja muiden kiltojen kekkuleille sekä muille opiskelija-aktiiveille, joihin olen saanut tutustua näiden vuosien aikana. Viimeisenä, mutta kaikkein tärkeimpänä, haluan kiittää Jarnoa sekä koko meidanperhetta puoliskoineen. Helsingissä 17.12.2012 Ellen Hakala

SISÄLLYSLUETTELO SYMBOLI- JA LYHENNELUETTELO 4 1 JOHDANTO 8 1.1 Työn tausta 9 1.2 Työn tavoite 11 1.3 Työn rakenne 11 2 DETERMINISTISET TURVALLISUUSANALYYSIT 14 2.1 Syvyyssuuntainen turvallisuussuunnittelu 15 2.2 Ydinvoimalaitoksen käyttötilat 17 2.3 Hyväksymiskriteerit 20 2.4 Vikakriteerit 23 2.5 Turvallisuusanalyysimenetelmät 24 2.6 Sovelluskohteet 28 3 DETERMINISTISEN TURVALLISUUSANALYYSIN LÄHESTYMISTAVAT _ 31 3.1 Konservatiivinen lähestymistapa 32 3.1.1 Herkkyysanalyysi 34 3.2 Tilastollinen lähestymistapa 35 4 EPÄVARMUUSTARKASTELU 39 4.1 Epävarmuuslähteet 40 4.2 Todennäköisyyspohjaiset epävarmuustarkastelumenetelmät 44 4.2.1 GRS-menetelmä 45 4.2.2 CSAU-menetelmä 51

4.2.3 GSUAM-menetelmä 54 4.2.4 APROS Testing Station-epävarmuustyökalu 54 4.3 Deterministiset epävarmuustarkastelumenetelmät 55 4.3.1 AEAT-menetelmä 55 4.3.2 DRM-menetelmä 57 4.4 Tulosten ekstrapolointiin perustuvat epävarmuustarkastelu-menetelmät 58 4.4.1 UMAE-menetelmä 59 4.4.2 CIAU-menetelmä 61 4.5 Epävarmuustarkastelumenetelmien vertailu 65 5 LASKENTAESIMERKKI VAIHTOEHTOISTEN TURVALLISUUSANALYYSI- MENETELMIEN SOVELTAMISESTA 69 5.1 Laskentaohjelmisto ja laitosmalli 70 5.2 Onnettomuuden kuvaus 75 5.3 Tulosparametrit ja epävarmuusparametrien karakterisointi 77 5.4 Vikaoletukset 79 5.5 Tilastollisen turvallisuusanalyysin laskenta 80 5.6 Konservatiivisen turvallisuusanalyysin laskenta 83 5.7 Laskennan tulokset 85 5.7.1 Referenssitapaus 85 5.7.2 Tilastollisen ja konservatiivisen turvallisuusanalyysin tulokset 94 5.7.3 Turvallisuusanalyysin termohydrauliikka 98 5.8 Tulosten tarkastelu 101

6 JOHTOPÄÄTÖKSET 104 7 YHTEENVETO 106 LÄHTEET 109 LIITTEET Liite I: Varioitaville parametreille käytettävät laskenta-arvot Liite II: Tilastollisesti varioitavien parametriarvojen jakaumat Liite III: Tilastollisen analyysin yksiarvoisten tulosparametrien arvot

4 SYMBOLI- JA LYHENNELUETTELO 3D Kolmiulotteinen a Vuosi AEA eng. Atomic Energy Authority, Iso-Britannian ydinvoimaviranomainen AEAT eng. AEA Technology plc, isobritannialainen energiayritys (ennen osa AEA:a) ALARA eng. As Low As Reasonably Achievable, optimointiperiaate, säteilysuojelun pääperiaate: säteilyn käytöstä aiheutuva säteilyaltistus on pidettävä niin pienenä kuin kohtuudella on mahdollista APROS eng. Advanced Process Simulation Software, VTT:n ja Fortumin kehittämä simulaatio-ohjelmisto Areva NP Laitostoimittaja, joka kehittää ja rakentaa ydinvoimalaitoksia, osa Areva teollisuuskonsernia (entinen Framatome ANP) ATHLET eng. Analysis of Thermal-hydraulics, Leaks and Transients, laskentaohjelmisto BEAU eng. Best estimate and uncertainty, kanadalainen epävarmuustarkastelumenetelmä BE eng. best estimate, parhaan arvion mukainen, realistinen BEMUSE eng. Best-Estimate Methods Uncertainty and Sensitivity Evaluation, OECD/CSNI:n tutkimusohjelma tilastollisen analyysin epävarmuustarkastelumenetelmistä BEPU eng. Best estimate plus Uncertainty, Paras arvio ja epävarmuus - menetelmä eli tilastollinen turvallisuusanalyysimenetelmä BEU eng. Best estimate and Uncertainty, Paras arvio ja epävarmuus - menetelmä eli tilastollinen turvallisuusanalyysimenetelmä Bq Becquerel, säteilyn aktiivisuuden yksikkö CATHARE eng. Code for Analysis of Thermalhydraulics during Accident and Reactor Safety Evaluation, laskentaohjelmisto CIAU eng. Code with Capability of Internal Assessment of Uncertainty, Pisan yliopiston kehittämä epävarmuustarkastelumenetelmä Cs-137 Cesiumin radioaktiivinen 137-isotooppi

5 CSAU eng. Code scaling, Applicability and Uncertainty, epävarmuustarkastelumenetelmä CSNI eng. Committee on the Safety of Nuclear Installations, OECD:n ydinturvallisuustutkimukseen keskittyvä alakomitea DBC eng. design basis conditions, oletettu onnettomuustilanne DBC 1 Suunnitteluperusteluokka 1: laitoksen normaali käyttötilanne DBC 2 Suunnitteluperusteluokka 2: odotettavissa oleva tapahtuma DBC 3 Suunnitteluperusteluokka 3: luokan 1 oletettu onnettomuus DBC 4 Suunnitteluperusteluokka 4: luokan 2 oletettu onnettomuus DEC eng. design extension conditions, suunnitteluperusteluokka, oletetun onnettomuuden laajennus DiD eng. Defence in Depth, syvyyssuuntainen turvallisuussuunnittelu DRM eng. Deterministic Realistic Method, deterministinen epävarmuustarkastelumenetelmä EDF ransk. Electricité de France, Ranskan valtion omistama sähköyritys ENUSA esp. Empresa Nacional del Uranio Sociedad Anónima, espanjalainen ydinvoimayritys EPR eng. European Pressurized Water Reactor, Areva NP:n toimittama painevesireaktori FSAR eng. Final Safety Analysis Report, lopullinen turvallisuusseloste GRS saks. Gesellschaft für Anlagen- und Reaktorsicherheit, saksalainen ydinenergiaorganisaatio GSUAM eng. Generic statistical uncertainty analysis methodology, Siemensin kehittämä epävarmuustarkastelumenetelmä I-131 Jodin radioaktiivinen 131-isotooppi IAEA eng. International Atomic Energy Agency, Kansainvälinen atomienergiajärjestö IPSN ransk. Institut de Protection et de Sûreté Nucléaire, Ranskan ydinturvallisuusviranomaisen tukiorganisaatio (nykyisin IRSN) IRWST eng. In-Containment Refuelling Water Storage Tank, suojarakennuksessa sijaitseva hätäjäähdytysvesiallas LOCA eng. Loss Of a Coolant Accident, jäähdytteenmenetysonnettomuus MARS eng. Model for Applications at Regional Scale, laskentaohjelmisto

6 MPCT eng. Maximum Peak Cladding Temperature, polttoaineen suojakuoren maksimilämpötila n Simulaatiokierrosten vähimmäismäärä, laskentakierrosten lukumäärä NEA eng. Nuclear Energy Agency, OECD:n ydinenergiajärjestö (N+1) Vikakriteeri yksittäisestä laiteviasta (N+2) Vikakriteeri yksittäinen laiteviasta ja samanaikaisesta korjauksesta tai huollosta OECD eng. Organisation for Economic Co-operation and Development, taloudellisen yhteistyön ja kehityksen järjestö OL3 Olkiluoto 3-ydinvoimalaitosyksikkö p Epävarmuusparametrien lukumäärä PIRT eng. Phenomena Identification and Ranking Table, ilmiöiden tärkeyttä arvioiva taulukkomenetelmä PRA eng. Probabilistic Risk Assessment, todennäköisyysperusteinen riskianalyysi PSAR eng. Preliminary Safety Analysis Report, alustava turvallisuusseloste QU/QUM Suureiden epävarmuus (matriisi) CIAU-menetelmässä RCC eng. Rank Correlation Coefficient, Spearmanin järjestyskorrelaatiokerroin RELAP eng. Reactor Excursion and Leak Analysis Program, laskentaohjelmisto RHR eng. Residual Heat Removal, jälkilämmön poisto SA eng. Severe Accident, suunnitteluperusteluokka, vakava onnettomuus SAHARA eng. Safety As High As Reasonably Achievable, periaate pitää turvallisuustaso niin korkeana kuin käytännössä mahdollista SAM eng. Severe accident management, vakavien onnettomuuksien hallinta STUK Säteilyturvakeskus. Suomen ydinturvallisuusviranomainen Sv Sievert, säteilyannoksen yksikkö TQU Geometrisesti yhteenlaskettu epävarmuus CIAU-menetelmässä TRAC eng. Thermal-hydraulic code, laskentaohjelmisto TRACE eng. The TRAC/RELAP Advanced Computational Engine, laskentaohjelmisto TS eng. Testing Station, APROS-ohjelmiston työkalu automaatiotestaukseen TU/TUV Ajan epävarmuus (vektori) CIAU-menetelmässä

7 UMAE eng. Uncertainty Method based on Accuracy Extrapolation, epävarmuustarkastelumenetelmä UMS eng. Uncertainty Methods Study, OECD/NEA:n ohjelma epävarmuustarkastelusta UNIPI itl. Università di Pisa, Pisan yliopisto UO 2 Uraanidioksidi, ydinvoimaloissa käytetty polttoaine USNCR eng. United States Nuclear Regulatory Commission, Yhdysvaltain ydinturvallisuusviranomainen VNa Valtioneuvoston asetus VTT Teknologian tutkimuskeskus YEL Ydinenergialaki YVL Säteilyturvakeskuksen laatimat ydinvoimalaitosohjeet α β Todennäköisyys Luottamusväli

8 1 JOHDANTO Ydinenergian käytön perusvaatimuksena on turvallisuus. Ydinenergialaki (990/1987) määrää, että ydinenergian käytön on oltava yhteiskunnan kokonaisedun mukaista eikä siitä saa aiheutua vahinkoa ihmisille, ympäristölle tai omaisuudelle. Suomessa Säteilyturvakeskus (STUK) asettaa yksityiskohtaiset turvallisuusvaatimukset ydinvoimalaitosten käytölle ja valvoo riippumattomasti, että voimayhtiöt toimivat vaatimusten mukaan. Ydinvoimalaitoksen turvallisuutta arvioidaan rakennuslupaa ja käyttölupaa haettaessa, laitosmuutosten yhteydessä sekä käytön aikana jatkuvana valvontana ja määräaikaisarvioinneissa. Turvallisuus on varmistettava kaikissa laitoksen käyttötiloissa, joita ovat normaalit käyttötilanteet, käyttöhäiriöt sekä onnettomuudet. Ydinvoimayhtiöt osoittavat turvallisuusvaatimusten täyttymisen laskennallisesti ja kokeellisesti ydinvoimalaitoksen turvallisuusarvioiden avulla. Turvallisuusarvion laadintaan käytetään turvallisuusanalyysejä, joilla varmistetaan ja perustellaan sekä laitoksen että käytettävän laitostekniikan turvallisuus. (VNa 733/2008, 3.) Suomen ydinvoimalaitosten turvallisuus perustuu ns. syvyyssuuntaiseen turvallisuussuunnitteluun (Defence in Depth, DiD). DiD perustuu useaan erilliseen ja toisiaan varmistavaan rakenteelliseen ja toiminnalliseen turvallisuustasoon sekä häiriöiden ja onnettomuuksien luokitteluun niiden esiintymistaajuuden perusteella. Eri käyttötilojen varalle voimalaitos täytyy varustaa järjestelmillä, joilla pyritään estämään häiriöt, hallitsemaan onnettomuuden etenemistä tai minimoimaan onnettomuuden seuraukset. STUKin laatimissa Ydinvoimalaitosohjeissa (YVL-ohjeissa) määritetään jokaiselle käyttötilalle omat hyväksymiskriteerit, jotka perustuvat käyttötilan esiintymistaajuuteen. Hyväksymiskriteerit määrittävät viranomaisen sallimat rajat eri häiriö- tai onnettomuustilanteista aiheutuville seurauksille sekä laitoksen normaalikäytölle. (Reiman 2010, 11 12.) Hyväksymiskriteerien täyttyminen voimalaitoksella osoitetaan deterministisillä turvallisuusanalyyseillä. Deterministinen turvallisuusanalyysi kuvaa laitoksen käyttäytymistä eri alkutapahtumista aiheutuvissa häiriö- tai onnettomuustapahtumaketjuissa. Determinististen turvallisuusanalyysien lisäksi laitosturvallisuutta arvioidaan todennäköisyysperusteisilla riskianalyyseillä PRA (Probabilistic Risk Assessment). PRA perustuu riskien ja vikayhdistelmien

9 tunnistamiseen todennäköisyyspohjaisin menetelmin. PRA:lla selvitetään voimalaitokseen liittyviä uhkia ja ongelmia sekä niiden syitä, seurauksia ja esiintymistaajuutta. PRA:lla voidaan myös tunnistaa voimalaitoksen turvallisuuden kannalta parannettavat kohteet. (VNa 733/2008, 2 ; Reiman 2010, 12.) Tässä työssä tarkastellaan deterministisiä turvallisuusanalyysejä, todennäköisyyspohjaiset turvallisuusanalyysit rajataan kokonaan tämän työn ulkopuolelle. Deterministinen turvallisuusanalyysi voidaan laatia tilastollisesti tai konservatiivisesti. Perinteisesti deterministiset turvallisuusanalyysit on laadittu käyttäen konservatiivista lähestymistapaa, jossa analyysin epävarmuus huomioidaan valitsemalla oletukset ja käytetyt arvot konservatiivisesti eli epäedullisesti häiriön tai onnettomuuden etenemisen ja seurausten kannalta. Tällöin turvallisuusanalyysissä arvioidun häiriön tai onnettomuuden seuraukset laitoksella ovat hyvällä varmuudella lievempiä kuin analyysitulokset. (IAEA 2009, 14.) Laskentaohjelmistojen ja turvallisuusanalyysimenetelmien kehittyessä konservatiivisen lähestymistavan rinnalle on noussut tilastollinen lähestymistapa. Laskentaohjelmistojen nopeus ja taloudellisuus ovat mahdollistaneet realistisen (ns. Best estimate) mallinnuksen sekä usean simulaatiokierroksen laatimisen yhteen analyysiin. Tilastollinen turvallisuusanalyysi koostuu parhaan arvion menetelmällä (Best estimate method) laaditusta turvallisuusanalyysista sekä analyysin epävarmuuksien määrittämiseen käytetystä epävarmuustarkastelusta (uncertainty evaluation). Parhaan arvion mukaisessa laskennassa käytetään realistisia lähtöarvoja, joiden avulla laitostapahtumat pyritään kuvaamaan mahdollisimman todenmukaisesti. Epävarmuustarkastelussa analyysin epävarmuudet kartoitetaan ja määritetään systemaattisesti. Huomioimalla epävarmuudet varmistetaan hyväksymiskriteerien täyttyminen korkealla todennäköisyydellä. (IAEA 2009, 18.) 1.1 Työn tausta Luotettavan ja toimivan tilastollisen menetelmän ja realistisen laskentaohjelmiston kehittäminen on ollut tähtäimessä ydinenergian käytön alusta alkaen. 1960-luvulla alkanut kehitys on johtanut siihen, että menetelmää voidaan nykyään käyttää ydinvoimalaitosten lisensioinnissa ja suunnittelussa. (IAEA 2008, 4.) Tilastollisen lähestymistavan käyttö turvallisuusanalyysien laadinnassa onkin alkanut kiinnostaa

10 kansainvälisesti niin voimayhtiöitä, laitostoimittajia kuin viranomaisia yhä enemmän. Tilastollisten turvallisuusanalyysien kehitys on Suomessa johtanut siihen, että päivitettävinä olevissa YVL-ohjeissa STUK antaa luvan käyttää tilastollista lähestymistapaa vaihtoehtoisena turvallisuusanalyysimenetelmänä (YVL B.3, 601 ). Käyttökelpoisen ja tarkan epävarmuustarkastelumenetelmän kehitys on ollut kiinnostuksen kohteena kansainvälisesti. Eri maiden viranomaiset ja teollisuusyhtiöt, edelläkävijänä Yhdysvaltain ydinturvallisuusviranomainen USNRC (United States Nuclear Regulatory Commission) ovat arvioineet turvallisuusanalyyseihin liittyviä epävarmuuksia ja kehittäneet niiden määrälliseen arviointiin erilaisia laskennallisia epävarmuustarkastelumenetelmiä. Järjestelmällinen kansainvälinen yhteistyö tilastollisen analyysin ja siihen liittyvän epävarmuustarkastelun kehittämisestä alkoi OECD/NEA:n UMS-ohjelmasta (Uncertainty Methods Study). Vuosina 1995 1997 tehdyssä tutkimuksessa vertailtiin viittä eri epävarmuustarkastelumenetelmää, joita sovellettiin termohydraulisiin turvallisuusanalyyseihin realistisia laskentaohjelmistoja käyttäen. Tutkimuksessa tarkasteltiin pientä jäähdytteenmenetysonnettomuutta ROSA- IV koelaitteistolla. (Wickett et. al. 1998 a.) Vuonna 2005 aloitettu OECD/NEA/CSNI:n BEMUSE (Best Estimate Methods Uncertainty and Sensitivity Evaluation) -ohjelma on laajin epävarmuustarkastelun kehittämiseen tähtäävä kansainvälinen yhteistyöprojekti. Ohjelmaan osallistui aluksi yhdeksän organisaatiota seitsemästä eri maasta. Osallistujat kehittivät ja vertailivat epävarmuustarkastelun ja herkkyysanalyysin laatimiseen käytettäviä menetelmiä, joita sovellettiin suuren jäähdytteenmenetysonnettomuuden analysointiin. Esimerkkitapauksena käytettiin LOFT L2-5 koetta ja voimalaitossovellusta. Ohjelmassa karsittiin epävarmuustarkastelumenetelmien joukkoa tutkimuksen edetessä ja lopulta jäljelle jäi kaksi käyttökelpoisinta ja luotettavinta epävarmuustarkastelumenetelmää. Toinen näistä epävarmuustarkastelumenetelmistä on tilastollinen GRS-menetelmä, joka perustuu laskennan alkuarvojen varioimiseen todennäköisyysjakaumien avulla. Toinen on analyysin tulosten ekstrapolointiin koelaitteistodatan avulla perustuva UMAEmenetelmä. Tällä hetkellä BEMUSE-ohjelmaan osallistuu 12 tutkimusta tekevää organisaatiota. (OECD 2007; Luukka 2012, 3.)

11 1.2 Työn tavoite Tämän diplomityön tavoitteena on verrata deterministisen turvallisuusanalyysin laadintaan käytettäviä lähestymistapoja. Työssä painotetaan etenkin viime vuosina yleistynyttä tilastollista lähestymistapaa ja sen osana olevaa epävarmuustarkastelua. Työn lähtökohta on viranomaispainotteinen, jolloin deterministisen turvallisuusanalyysin laadintaa tarkastellaan siihen liittyvien vaatimusten kautta. Lähestymistavoista pyritään tunnistamaan eroja niiden ongelmien ja vahvuuksien kautta. Diplomityön päätavoite on selvittää epävarmuustarkastelun soveltamista tilastollisesti laadittavissa deterministisissä turvallisuusanalyyseissä. Työssä tehdään selvitys eri tahojen kehittämistä käyttökelpoisista epävarmuustarkastelumenetelmistä ja esitellään käytössä olevien epävarmuustarkastelumenetelmien teoriaa. Lisäksi kartoitetaan turvallisuusanalyysiin liittyvät epävarmuuslähteet. Diplomityön laskennallisessa osassa tilastollisen ja konservatiivisen turvallisuusanalyysin vertailu tehdään laatimalla termohydraulinen turvallisuusanalyysi molempia käytettäviä lähestymistapoja soveltaen. Tilastollisella ja konservatiivisella menetelmällä tehtyjen analyysien tuloksia verrataan toisiinsa erojen ja poikkeavuuksien hahmottamiseksi. Turvallisuusanalyysiesimerkkinä toimii APROSprosessisimulointiohjelmalla laadittava jäähdytteenmenetysonnettomuutta tarkasteleva onnettomuusanalyysi. Analyysiesimerkissä reaktorityyppinä käytetään Areva NP:n toimittamaa Olkiluoto 3-laitoksen (OL3) eurooppalaista painevesireaktoria (EPR). 1.3 Työn rakenne Diplomityö koostuu 7 pääluvusta, joista luvut 2 4 muodostavat työn teoriaosuuden ja luku 5 työn laskennallisen osuuden. Luvussa 6 esitetään työssä tehdyt johtopäätökset. Luku 7 on tiivistetty yhteenveto työssä esitetystä teoriasta, tuloksista ja johtopäätöksistä. Teoriaosan pääluvussa 2 käsitellään deterministisiä turvallisuusanalyysejä yleisellä tasolla. Luvussa käydään läpi determinististen turvallisuusanalyysien sisältö, laadinta ja tavoitteet. Luvun alakappaleet käsittelevät Suomen ydinvoimaloissa vallitsevaa

12 syvyyssuuntaista turvallisuussuunnittelua, turvallisuusanalyyseillä toteutuviksi todistettavia hyväksymiskriteerejä, turvallisuusanalyyseissä sovellettavaa käyttötilojen luokittelua, järjestelmien käytettävyyttä kuvaavia vikakriteerejä, turvallisuusanalyysin laadintaan käytettäviä turvallisuusanalyysimenetelmiä sekä turvallisuusanalyysien sovelluskohteita. Pääluvussa 3 käsitellään tarkemmin deterministisen turvallisuusanalyysin laadintaa. Mitä lähestymistapoja turvallisuusanalyysin laadintaan käytetään ja millaisia ne ovat. Luvussa käsitellään eri lähestymistapojen periaatteita ja eroavaisuuksia. Luvun alakappaleissa esitellään turvallisuusanalyysien laadintaan sovellettavat lähestymistavat. Luvussa 4 perehdytään tilastollisen analyysin epävarmuuksien määrittämiseen käytettäviin epävarmuustarkastelumenetelmiin. Luvussa tarkastellaan epävarmuuksien tunnistamista, huomioimista sekä määrittämistä. Ensimmäinen alakappale luvussa käsittelee epävarmuuksien lähteitä. Seuraavissa alakappaleissa eri epävarmuustarkastelumenetelmät esitellään niiden laadintaan käytettävän periaatteen mukaisesti jaoteltuna. Epävarmuustarkastelumenetelmä voi olla periaatteeltaan todennäköisyyspohjainen, deterministinen tai perustua tulosten ekstrapolointiin. Luvun viimeisessä alakappaleessa vertaillaan esiteltyjä epävarmuustarkastelumenetelmiä toisiinsa. Luku 5 on diplomityön laskennallinen osa, jossa esitellään konservatiivisesti ja tilastollisesti laadittava termohydraulinen onnettomuusanalyysiesimerkki. Tarkasteltaessa samaa onnettomuutta vaihtoehtoisilla lähestymistavoilla voidaan lähestymistapoja ja saatuja tuloksia vertailla toisiinsa sekä voimassa oleviin hyväksymiskriteereihin. Onnettomuuden mallinnukseen käytetään APROSprosessisimulointiohjelmaa. Onnettomuusanalyysiesimerkissä tutkitaan jäähdytteenmenetysonnettomuutta, jonka oletetaan tapahtuvan OL3-laitosyksiköllä. Luvun 5 alakappaleissa esitellään käytettävä laskentaohjelmisto ja -malli, kuvataan tarkasteltava onnettomuusskenaario sekä määritetään varioitavat laskentaparametrit, tarkasteltavat tulosparametrit, käytettävät oletukset sekä vikakriteerit. Lähestymistapoja käsittelevissä alakappaleissa käydään läpi eri lähestymistavoilla tehtävien analyysien laadintaan tarvittavat lähtötiedot. Laskennan tulokset ja niiden tarkastelu esitetään erillisinä kappaleina.

13 Johtopäätöksiä käsittelevässä luvussa 6 esitetään diplomityön perusteella tehdyt havainnot ja laskennan tuloksien perusteella tehdyt johtopäätökset. Luvussa arvioidaan työn teoriaosassa esiteltyjen deterministisiin turvallisuusanalyyseihin liittyvien vaatimusten toteutumista työn laskennallisessa osassa. Laskentaosan tuloksien perusteella tehdyt johtopäätökset eri analyysimenetelmien vertailukelpoisuudesta ovat pääpainona tässä luvussa. Luku 7 on tiivis yhteenveto diplomityön teoriasta, sovellusosan laskennasta sekä sen tuloksista ja niistä tehdyistä johtopäätöksistä.

14 2 DETERMINISTISET TURVALLISUUSANALYYSIT Analyyttisten laskentaohjelmistojen ja kokeellisen tiedon perusteella laadittavat deterministiset turvallisuusanalyysit ovat olennainen osa ydinvoimalaitosten lupaprosesseja sekä laitosmuutosprosesseja. Turvallisuusanalyyseillä osoitetaan, että viranomaisen asettamat jokaista käyttötilaa koskevat turvallisuusvaatimukset ja hyväksymiskriteerit täyttyvät korkealla todennäköisyydellä. Turvallisuusanalyyseillä osoitetaan, että ydinvoimalaitoksen käyttö on turvallista ja stabiilia. Turvallisuusanalyysejä käytetään myös turvallisuusjärjestelmien sekä laitteistojen suunnittelussa ja mitoituksessa. Tällöin turvallisuusanalyysillä todistetaan suunniteltujen teknisten ratkaisujen toimivuus ja suoriutuminen vaaditusta tehtävästä. Turvallisuusanalyyseilla voidaan myös tunnistaa seikkoja, joilla laitoksen turvallisuutta ja luotettavuutta voidaan parantaa. (VNa 2012, 3 ; IAEA 2009, 1, 3, 8.) Deterministisillä turvallisuusanalyyseillä tarkastellaan laitoksen ajallista käyttäytymistä eri alkutapahtumista johtuvien häiriöiden ja onnettomuuksien aikana. Tapahtumia tarkastellaan syy seuraus-menetelmällä valitsemalla analyysiin tarkasteltava alkutapahtuma, josta aiheutuva tapahtumaketju seurauksineen selvitetään. Turvallisuusanalyysin tulee kuvata laitoksen ajallinen käyttäytyminen koko tapahtuman ajalta, alkutapahtumasta häiriö- tai onnettomuustilanteen kautta ensin laitoksen hallittuun ja sitten turvalliseen tilaan. Hallitussa tilassa reaktorisydän on sammutettu ja pitkäaikainen lämmönsiirto reaktorisydämestä on taattu. Turvallinen tila saavutetaan reaktorin ollessa paineeton ja sammutettu sekä pitkäaikaisen jälkilämmönpoiston ollessa turvattu. (YVL B.3.) Alkutapahtumalla tarkoitetaan laitoksen tahatonta ja suunnittelematonta toimintoa kuten toimintavirhettä, laitteen vikaantumista tai käyttöhäiriötä. Alkutapahtuma voi johtaa turvallisuustoimintojen vaarantumiseen ja onnettomuustilanteeseen laitoksella. Usein tällaisen tapahtuman sattuessa tarvitaan suoja- ja turvallisuustoimintoja laitokselle, järjestelmille, henkilökunnalle sekä ympäristölle aiheutuvien seurausten torjumiseen tai minimointiin. Turvallisuusanalyyseissä tarkasteltavien tapausten tulee kuvastaa mahdollisimman laajasti kaikkia mahdollisia häiriöitä ja onnettomuuksia sekä niistä aiheutuvia seurauksia. Valitsemalla analysoitavat alkutapahtumat huolella tulevat myös laitoksen rakenteelliset ja käytöstä johtuvat vaikutukset selvitetyiksi. Lisäksi saadaan

15 selville järjestelmien rajoittavuus ja jokaisen järjestelmän kannalta pahimmat onnettomuustyypit ja oletukset. (IAEA 2002, 7; Tuomainen 2008, 5; YVL B.3, 301 303.) Turvallisuusanalyysin laadinta alkaa tarkasteltavan tapahtuman karakterisoinnilla ja tunnistamalla tapahtumaan liittyvät tärkeimmät ilmiöt. Seuraavaksi valitaan käytettävä laskentaohjelmisto sekä määritetään käytettävät parametriarvot, reunaehdot, oletukset, nodalisaatio, korrelaatiot sekä muut laskennassa tarvittavat tiedot. Nodalisaatiolla tarkoitetaan laskentamallin komponenttien jakamista noodeihin eli laskentasoluihin. Nodalisaatio muodostaa yhteyden laskentaohjelmiston ja todellisuuden välille, kun tiedot koelaitteistosta tai voimalaitoksesta muunnetaan yhdessä alkuarvojen ja reunaehtojen kanssa laskentamalliksi. Turvallisuusanalyysissä voidaan käyttää myös valmista laskentamallia, jolloin ainoastaan laskennassa käytettävät parametriarvot ja oletukset täytyy määrittää ennen turvallisuusanalyysin laskentaa. (IAEA 2008, 38, 86.) YVL-ohjeessa B.3 Ydinvoimalaitoksen turvallisuusanalyysit esitetään turvallisuusanalyyseihin liittyvät vaatimukset. Hyväksyttävästi laadittu turvallisuusanalyysikokonaisuus sisältää kuvauksen käytetyistä menetelmistä ja niiden kelpuutuksesta, tarkasteltavat alkutapahtumat ja niiden luokitukset perusteluineen, perustelun käytetyistä parametreista ja oletuksista sekä tulosten tulkinnan. (Lahtinen 2008, 21.) Analyysin laadintaan käytettävänä turvallisuusanalyysimenetelmänä YVLohje B.3 hyväksyy vaihtoehtoisesti konservatiivisen laskennan ja herkkyysanalyysin tai parhaan arvion menetelmän ja tilastollisen epävarmuustarkastelun. Viranomainen tarkastaa turvallisuusanalyysit ja arvioi hyväksymiskriteerien toteutumisen lisäksi myös käytettyjen menetelmien ja ohjelmistojen luotettavuuden, mallinnuksen, oletukset ja käytetyt parametriarvot. 2.1 Syvyyssuuntainen turvallisuussuunnittelu Valtioneuvoston asetus ydinvoimalaitoksen turvallisuudesta (VNa 733/2008) esittelee Suomen viranomaisen vaatiman turvallisuustason, jota voimalaitoksilla noudatetaan. Suomessa ydinvoimalaitosten turvallisuuden tulee perustua syvyyssuuntaiseen turvallisuussuunnitteluun (Defence in Depth, DiD). DiD:n kuuluvat moninkertaiset säteilysuojaukset, häiriöiden ja onnettomuuksien luokitteluun perustuva turvallisuussuunnittelu hyväksymiskriteerien avulla sekä suojauksien ja

16 turvallisuusjärjestelmien diversifiointi. DiD:n mukainen turvallisuustaso tulee toteutua laitoksella suunnitteluvaiheessa, rakennusvaiheessa sekä laitoksen käytön aikana. (VNa 733/2008, 12.) Toiminnallinen DiD onnettomuuksien ja häiriöiden varalta perustuu viiteen peräkkäiseen ja toisistaan riippumattomaan puolustustasoon: ennalta ehkäisemiseen (taso 1), häiriö- ja onnettomuustilanteiden hallintaan (tasot 2 ja 3), päästön rajoittamiseen (taso 4) sekä seurausten lieventämiseen (taso 5). Laitos on suunniteltava niin luotettavaksi, että poikkeustilanteet laitoksella ovat harvinaisia ja polttoaineen vaurioitumiseen johtavan onnettomuuden todennäköisyys on hyvin pieni. Häiriötilanteiden varalta laitoksessa on oltava järjestelmiä, jotka estävät häiriötilanteen kehittymisen onnettomuudeksi ja palauttavat laitoksen turvalliseen tilaan. Onnettomuustilanteessa ensisijainen tavoite on estää polttoaineen vaurioituminen. Polttoaineen vaurioitumisen estämiseksi laitoksella on turvallisuusjärjestelmiä, joilla onnettomuus pyritään saamaan hallintaan. Polttoaineen vaurioitumisen varalta laitoksessa on lisäksi oltava järjestelmiä, jotka estävät radioaktiivisen päästön leviämisen. Järjestelmät pyrkivät pitämään suojarakennuksen tiiviinä ja onnettomuuden päästön raja-arvojen alapuolella. Tason 4 mukaisia rakenteellisia syvyyssuuntaisia etenemisesteitä ovat polttoaine, primääripiiri, suojakuori, suojarakennus ja painevesireaktoreissa sekundääripiiri. Onnettomuustilanteissa, joissa laitokselta tapahtuu radioaktiivinen päästö, pyritään onnettomuuden seurauksia lieventämään tasolla 5 rajoittamalla väestön säteilyannoksia suojaustoimilla. Tasoilla 2 5 käytettävät turvallisuustoiminnot ovat toimia, jotka ehkäisevät häiriö- ja onnettomuustilanteita sekä rajoittavat niiden etenemistä ja seurauksia. Turvallisuustoimintoja toteuttavat mm. fysikaaliset takaisinkytkennät, ulkoisesta sähköverkosta riippumattomat järjestelmät ja laitteet, reaktorin hallintajärjestelmät, ylipaineistumisen estojärjestelmät, varasähköjärjestelmät, hätäjäähdytysjärjestelmät sekä normaalikäytön järjestelmistä riippumattomat turvallisuusjärjestelmät vakavien onnettomuuksien varalle. (VNa 733/2008, 2, 12 14.) Yleisillä hyväksymiskriteereillä varmistetaan DiD:n mukainen toiminta laitoksella (IAEA 2002, 11). Hyväksymiskriteerien vaatima turvallisuustaso saavutetaan useilla toisiaan varmistavilla toimilla, jotka estävät onnettomuuden syntymistä ja etenemistä sekä vähentävät päästön todennäköisyyttä. Polttoaineen, primääripiirin ja

17 suojarakennuksen turvallisuuskriteereillä varmistetaan niiden toiminta DiD:n mukaisina leviämisesteinä. 2.2 Ydinvoimalaitoksen käyttötilat Toiminnallinen DiD toteutetaan voimalaitoksilla varautumalla kaikkiin laitoksen mahdollisiin käyttötiloihin. Käyttötilat luokitellaan laitostilanteen, tilanteen vakavuuden ja esiintymistaajuuden mukaan. Laitoksen eri käyttötiloja ovat normaalit käyttötilanteet, odotettavissa olevat käyttöhäiriöt sekä onnettomuustilanteet. Normaaleihin käyttötilanteisiin kuuluvat normaaliajon lisäksi laitoksen ylös- ja alasajo, huolto, polttoaineenvaihto sekä laitoksella suoritettavat testaukset. Käytännössä varautuminen kaikkiin käyttötiloihin tarkoittaa, että jokaisen käyttötilaluokan mukaiseen tapahtumaan valmistaudutaan niin että laitokselta vaadittava turvallisuustaso säilyy koko tapahtuman ajan. Syvyyssuuntaisen turvallisuussuunnittelun mukaisesti onnettomuudet ja käyttöhäiriöt tulee ensisijaisesti estää. Onnettomuuksien hallintaan on kuitenkin varauduttava, samoin kuin onnettomuuksien seurausten minimointiin. Onnettomuuden todennäköisyyden on oltava sitä pienempi mitä vakavampi onnettomuus on kyseessä (YEL 990/1987 7d ). Taulukossa 1 esitellään Suomessa käytössä oleva deterministisissä turvallisuusanalyyseissä sovellettava ryhmittely analyyseissa tarkasteltaville käyttötiloille. Valtioneuvoston asetus ydinvoimalaitoksen turvallisuudesta määrittelee annosrajat sekä radioaktiivisten päästöjen rajat ydinvoimalan kaikille käyttötiloille eli normaalikäytölle, häiriötilanteille ja onnettomuuksille (VNa 733/2008, 7 10 ). Taulukosta 1 käy ilmi myös kyseisten käyttötilojen esiintymistaajuus, suunnitteluperusteluokka, laitostilanteen seurauksena aiheutuvien radiologisten vaikutusten raja-arvot sekä laitoslanteiden mukaiset syvyyssuuntaisen turvallisuussuunnittelun puolustustasot. (VNa 733/2008, 2.) Jokaiselle suunnitteluperusteluokalle DBC 1, DBC 2, DBC 3, DBC 4 ja DEC on omat hyväksymiskriteerit, jotka pitää täyttää kyseisissä tapahtumissa (YVL B.1, 447 ).

18 Taulukko 1. Syvyyssuuntaisen turvallisuussuunnittelun puolustustasojen mukaiset käyttötilat (VNa 733/2008, 8 10 ; YVL B.1, 23 24) DiD:n puolustustaso Käyttötilanne, laitostilanteen luokka Esiintymistaajuus [1/a] Suunnitteluperusteluokka Radiologisten vaikutusten raja-arvot Taso 1 Normaalit käyttötilanteet DBC 1 0,1 msv / vuosi Taso 2 Odotettavissa oleva käyttöhäiriö <10-2 DBC 2 0,1 msv / tapahtuma Taso 3a Taso 3b Oletettu onnettomuus Oletetun onnettomuuden laajennus Luokka 1 10-2 10-3 DBC 3 1 msv / tapahtuma Luokka 2 < 10-3 DBC 4 5 msv / tapahtuma Tyyppi A 10-4 10-7 DEC 20 msv / Tyyppi B 10-5 10-7 Tyyppi C 10-5 10-7 tapahtuma Taso 4 Vakava reaktorionnettomuus < 10-5 SA 20 msv / viikko (suoja-alueen ulkopuolella) Ulkoilmaan vapautuvat päästöt: Cs-137 < 100 TBq I-131 < 1000 TBq Odotettavissa oleva käyttöhäiriö on suunnitteluperusteluokkaan DBC 2 kuuluva normaalista poikkeava käyttötilanne laitoksella. Odotettavissa olevan käyttöhäiriön oletetaan tapahtuvan vähintään kerran sadan käyttövuoden aikana (VNa 733/2008, 2 ). Odotettavissa oleva käyttöhäiriö ei saa vaikuttaa laitoksen turvallisuuteen tai aiheuttaa onnettomuustilannetta laitoksella. Tällaisten tapahtumien vaikutusten ennalta ehkäisy

19 noudattaa syvyyssuuntaisen turvallisuussuunnittelun 2 tasoa. Odotettavissa olevaan käyttöhäiriöön on varauduttava suunnittelemalla laitoksen järjestelmät ja toimet niin, ettei häiriöstä aiheudu seurauksia ja laitos pysyy normaalikäyttötilassa. Jossain tapauksissa reaktorin pikasulku voi tapahtua odotettavissa olevan käyttöhäiriön seurauksena. Odotettavissa oleva käyttöhäiriö ei saa johtaa tarpeeseen käyttää vakavimmille käyttötiloille tarkoitettuja turvallisuusjärjestelmiä. (IAEA 2009, 5; VNa 733/2008, 12 ; YVL B.3, 607.) Oletettu onnettomuus on onnettomuustilanne, joka poikkeaa laitoksen normaalista käyttötilanteesta. Oletetun onnettomuuden aiheuttama päästö tai vaurio polttoaineelle tulee olla pieni, eikä polttoaineen jäähdytettävyys saa vaarantua. Oletetut onnettomuudet jaetaan Suomessa kahteen luokkaan niiden esiintymistiheyden mukaan. DBC 3 suunnitteluperusteluokkaan kuuluva luokan 1 oletetun onnettomuuden oletetaan tapahtuvan harvemmin kuin kerran sadassa vuodessa, mutta vähintään kerran tuhannessa käyttövuodessa. DBC 4 suunnitteluperusteluokkaan kuuluva luokan 2 oletettu onnettomuus oletetaan tapahtuvan laitoksella harvemmin kuin kerran 1000 käyttövuodessa. (IAEA 2009, 5; VNa 733/2008, 2.) Oletetun onnettomuuden laajennus tarkoittaa onnettomuustyyppiä, joka on vakavampi ja harvinaisempi kuin oletetun onnettomuuden luokat 1 ja 2. Oletetun onnettomuuden laajennus kuuluu suunnitteluperusteluokkaan DEC. Oletetun onnettomuuden laajennukseen kuuluu kolmeen tyyppiin kuuluvia onnettomuuksia: Tyypin A oletetun onnettomuuden laajennus käynnistyy odotettavissa olevasta tapahtumasta tai luokan 1 oletetusta onnettomuudesta. Samaan aikaan laitoksen turvallisuusjärjestelmässä tapahtuu yhteisvika, joka aiheuttaa oletetun onnettomuuden laajenemisen. Tyypin B oletetun onnettomuuden laajennus on harvinainen vikayhdistelmä. Nämä vikayhdistelmät määritetään todennäköisyysperusteisen riskianalyysin perusteella. Tyypin C oletetun onnettomuuden laajennus johtuu harvinaisesta ulkoisesta tapahtumasta. Vaikka oletetun onnettomuuden laajennus on vakavampi kuin oletettu onnettomuus, tulee laitoksen selviytyä siitäkin ilman vakavia polttoainevaurioita. (VNa 733/2008, 2.) Vakavassa reaktorionnettomuudessa huomattava osa polttoaineesta menettää alkuperäisen rakenteensa. Vakavat onnettomuudet kuuluvat suunnitteluperusteluokkaan

20 SA. Vakavien onnettomuuksien hallinnan SAM (Severe Accident Management) avulla pyritään minimoimaan onnettomuudesta aiheutuvat seuraukset syvyyssuuntaisen turvallisuussuunnittelun 4 tason mukaisesti. Vakavien onnettomuuksien hallinnan keskeinen turvallisuustoiminto on suojarakennuksen eheyden turvaaminen ja päästön leviämisen estäminen. Ydinvoimalaitoksen suojarakennuksen suunnittelussa otetaan huomioon vakavan onnettomuuden vaikutusten minimointi sekä vakavan onnettomuuden pitkän aikavälin hallinta. Tavoitteena on estää päästön leviäminen ulkoilmaan suojarakennuksesta, joka suunnitellaan pysymään tiiviinä koko onnettomuuden ajan erilaisista kuormista huolimatta. (Reiman 2010, 16; VNa 733/2008, 2, 12.) 2.3 Hyväksymiskriteerit Ydinenergialain (990/1987) ja SAHARA (Safety As High As Reasonably Achievable) - periaatteen mukaisesti ydinvoimalaitosten turvallisuus on pidettävä niin korkeana kuin käytännössä on mahdollista. Turvallisuustaso saavutetaan syvyyssuuntaisella turvallisuussuunnittelulla ja turvallisuustoiminnoilla, jotka mitoitetaan radiologisten vaikutusten raja-arvojen avulla. Kaikissa tilanteissa tulee noudattaa työntekijöiden, ympäristön ja väestön säteilyannoksien osalta ALARA (As Low As Reasonably Achievable) -periaatetta eli pitää aiheutuneet säteilyannokset niin alhaisina kuin kohtuudella on mahdollista. Väestölle sallittujen radiologisten vaikutusten raja-arvot on esitetty taulukossa 1. Onnettomuuden sattuessa laitoksen lähialueen väestön ja ympäristön suojeluun tarvittavien toimenpiteiden tulee pysyä ajallisesti ja alueellisesti rajoitettuina eikä maa- ja vesialueille saa aiheutua pitkäaikaista haittaa. (VNa 733/2008, 7 10; YVL B.1, 401.) Suunniteltaessa ja käytettäessä ydinvoimalaitosta radiologisten vaikutusten raja-arvot eivät kuitenkaan ole käytännöllinen turvallisuuskriteeri, johon laitossuunnittelu ja käyttö voitaisiin perustaa. Radiologisten vaikutusten raja-arvojen perusteella on määritelty yksityiskohtaisempia teknisiä raja-arvoja, hyväksymiskriteerejä, joita noudatettaessa laitoksen säteilyannokset ja päästöt pysyvät annettujen radiologisten vaikutusten rajaarvojen alapuolella. STUK on määrittänyt Suomen voimalaitoksilta vaadittavat hyväksymiskriteerit, joiden toteutuminen laitoksella osoitetaan determinististen turvallisuusanalyysien avulla. STUK tarkistaa deterministiset analyysit voimassaolevia

21 hyväksymiskriteerejä vastaan ja varmistaa tuloksien oikeellisuuden vertaamalla turvallisuusanalyysiä riippumattomasti tehtäviin vertailuanalyyseihin. Analyysin tekijän on turvallisuusanalyysiä laadittaessa huomioitava, että alkutapahtuma voi johtaa eri tapahtumaketjuun ja lopputulokseen. Tällöin onnettomuuteen voi liittyä eri turvallisuusjärjestelmiä tai seurauksia, joihin liittyy eri hyväksymiskriteerit. (YVL 2.2, 8.) Suomen voimalaitoksilta vaaditut hyväksymiskriteerit ovat määritelty eri laitostilanteille. Hyväksymiskriteerit ilmaistaan numeerisina raja-arvoina, vaatimuksina laitoksen toimintatilaan onnettomuuden aikana tai sen jälkeen, operaattorin toiminnan ehtoina tai rakenteiden, systeemien ja komponenttien suorituskykynä. Hyväksymiskriteerit ovat tiukemmat tapahtumille, joiden esiintymistaajuus on suurempi. (IAEA 2009, 13 14.) Hyväksymiskriteereitä on asetettu polttoaineelle, paineenhallinnalle, päästöille ja säteilyannoksille, suojarakennukselle, onnettomuus- tai häiriötilanteissa käytettäville järjestelmille, sekä laitoksen turvalliseen tilaan saattamiselle. Deterministisen analyysin tuloksia verrataan mm. polttoainevaurioiden, ylipainesuojauksen, suojarakennuksen sekä päästöjen ja säteilyannosten rajojen hyväksymiskriteereihin. Polttoaineen turvallisuuskriteereillä rajoitetaan polttoaineen vaurioitumista onnettomuuden seurauksena. Primääripiirin ja suojarakennuksen hyväksymiskriteerit määrittelevät maksimipainetta, jonka systeemi kestää, reaktorin tilan turvallisuustekijöitä sekä suunnittelupainetta. (OECD 2005, 7; Tuomainen 2008, 9.) Mikäli hyväksymiskriteerit täyttyvät onnettomuuden aikana, onnettomuutta mahdollisesti seuraava radioaktiivinen päästö on rajoitettu ja hyväksyttävissä rajoissa. Päästöjen hyväksymiskriteerejä voidaan tarkastella viranomaisvaatimuksien lisäksi myös turvallisuusennusteina. Kaikissa onnettomuusanalyyseissä, joissa tarkastellaan tapahtumaa joka voi johtaa radioaktiiviseen päästöön, on arvioitava mahdollisen päästön määrä ja sen leviäminen. Tällä tarkkaillaan onnettomuudesta aiheutuvia vaikutuksia sekä määritetään ihmisille ja ympäristölle aiheutuvat haitat. Samalla voidaan tarkkailla, kuinka hyväksymiskriteerit täyttyvät eri onnettomuustilanteissa. (OECD 2005, 6.)

222 Hyväksymiskriteerien ja turvallisuusrajojen periaate turvallisuusanalyysitulosten suhteen on esitetty kuvassa 1. Hyväksymiskriteerit määritellään konservatiivisesti eli epävarmuuksien varalta hyväksymiskriteeri on tiukempi kuin turvallisuusraja. Turvallisuusraja eli kynnysarvo onnettomuuteen kuvaa analyysissä tarkasteltavan parametrin arvoa, jonka ylittäminen johtaa epätoivottuun lopputulokseen. Laitos on turvallinen, jos todellisen arvon ja turvallisuusrajan ero eli turvallisuusmarginaali on tarpeeksi suuri. (IAEAA 2008, 8; IAEA 2009, 13.) Kuva 1. Hyväksymiskriteerien periaatekuva (IAEA 2008, 8) Laitoksen käyttö on hyväksymiskriteerien osalta luvallista, mikälii kaikkien turvallisuusanalyysienn tulokset ovat viranomaisen asettamien hyväksymiskriteerien mukaisia. Viranomaisen tehtävänä on huolehtia, että hyväksymiskriteerin ja turvallisuusrajan väliin jää riittävä marginaali. Konservatiivisen ja tilastollisen turvallisuusanalyysin turvallisuusperiaatekaaviott muodostuvat eri tavalla suhteessa todelliseen arvoon ja turvallisuusmarginaaliin. Konservatiivisella menetelmällää laaditustaa analyysista saadaan tulosparametrille yksi tulosarvo tai -käyrä, jota verrataan hyväksymiskriteeriin. Laskennan konservatiivisuuss takaa sen, että parametrin arvo todellisessa laitostilanteessa jäää suurella varmuudella a turvallisuuden kannalta paremmaksi kuin konservatiiv visella laskentamenetelmällä saatu tulosarvo. Konservatiivisen analyysin tuloksen vertaaminen viranomaisen asettamaan hyväksymiskriteeriin on yksinkertaista: jos konservatiivisellaa menetelmällä saatu laskentatulos on hyväksymiskriteerin mukainen, tulos on hyväksyttävä. Tilastollisen analyysin tulokseksi saadaan turvallisuuteen liittyvän parametrin todennäköisin arvo ja

23 parametrin vaihteluväli eli epävarmuusrajat, joiden maksimi- tai minimiarvon on täytettävä viranomaisvaatimukset eli oltava hyväksymiskriteerin mukainen. Hyväksymiskriteerien vaatimukset määritetään yleensä konservatiivisella menetelmällä tehdylle turvallisuusanalyysille. Suomessa YVL-ohjeet määrittävät konservatiivisilta turvallisuusanalyysituloksilta vaadittavat hyväksymiskriteerit. Suomessa tilastollisen turvallisuusanalyysin tuloksilta vaaditaan 95 % luottamustasolla 95 % todennäköisyyttä sille, että tarkasteltava suure ei ylitä konservatiivisen menetelmän hyväksymiskriteeriä. Tällä luottamustasolla 95 % tulosarvoista on 95 % varmuudella vaihteluvälin maksimija minimiarvon välissä, mikäli tarkastellaan kaksipuolista luottamusväliä. Tarkasteltaessa yksipuoleista luottamusväliä arvioidaan 95 % varmuudella 95 % parametriarvoista olevan vaihteluvälin minimi- tai maksimiarvon halutulla puolella. Epävarmuustarkastelun tavoitteena on siis varmistaa vähintään 95 % varmuudella, että tarkasteltavan tapahtuman sattuessa vaadittuja lisensiointikriteerejä eli hyväksymiskriteerejä ei ylitetä. (IAEA 2008, 15, 63; YVL B.3, 602.) Tilastollista lähestymistapaa sovellettaessa voidaan määrittää tarvittaessa myös erikseen mitä luottamustasoa ja todennäköisyyttä analyysiltä vaaditaan. 2.4 Vikakriteerit Turvallisuustoiminnolla tarkoitetaan ydinvoimalaitoksella tapahtuvaa laitoksen turvallisuuden kannalta oleellista toimintoa, jolla toteutetaan jotain DiD:n tasoa. Toiminto voi ehkäistä häiriö- tai onnettomuustilanteiden syntymistä ja kehittymistä tai lievittää seurauksia. Turvallisuustoimintoja ovat reaktiivisuuden hallinta, jälkilämmön poisto sekä radioaktiivisen aineen leviämisen estäminen ja eristäminen suojarakennuksen tiiveyden kautta. (YVL B.1.) Suomen ydinvoimalaitoksissa tärkeimmät turvallisuustoiminnot on varmistettu moninkertaisuus- ja erilaisuusperiaatteen mukaisilla järjestelmillä ja laitteilla. Moninkertaisuusperiaate tarkoittaa, että tärkeimmät turvallisuustoiminnot turvataan useilla päällekkäisillä toisiaan korvaavilla identtisillä osajärjestelmillä. Tällöin vaadittu turvallisuustehtävä täyttyy vaikka yksi tai osa järjestelmistä ei toimisi. Erilaisuusperiaate tarkoittaa, että turvallisuusjärjestelmät tai niiden osajärjestelmät perustuvat eri toimintaperiaatteisiin. YVL-ohje B.1 määrää, että näiden periaatteiden

24 mukaisesti suunniteltujen turvallisuusjärjestelmien suunnitteluratkaisut on perusteltava deterministisillä turvallisuusanalyyseillä. Deterministissä turvallisuusanalyyseissä ei tarkastella yksittäisen järjestelmän tai osajärjestelmän toimivuuden todennäköisyyttä vaan järjestelmien käytettävyys määritetään oletuksilla, vikakriteereillä. Vikakriteeriä sovellettaessa turvallisuusanalyysillä todistetaan, että vikaantuminen ei estä suunniteltua turvallisuustoimintoa toteutumasta. Kaikkien laitoksen turvallisuusjärjestelmien osajärjestelmineen tulee täyttää niille asetetut vikakriteerit. Vikakriteereiden määrittelyssä käytetään joko (N+2)- tai (N+1)-vikakriteeriperiaatetta. YVL-ohje B.1 määrää kumpaa vikakriteereistä on käytettävä. (N+1)-vikakriteerin mukaan turvallisuustoiminto täytyy toteutua, vaikka yksittäinen laite/järjestelmä vikaantuisi. (N+2)-vikakriteeriä sovellettaessa on turvallisuustoiminnon toteutuminen osoitettava, vaikka yksittäinen järjestelmä/laite vikaantuisi samanaikaisesti kun rinnakkainen järjestelmä/laite on huollossa tai korjauksessa. Deterministisissä turvallisuusanalyyseissä vikaoletuksena voidaan esimerkiksi käyttää oletusta, että yksi tai osa hätäjäähdytyspumpuista tai dieselgeneraattoreista on poissa käytöstä huollon tai vian vuoksi. (YVL B.1, 445.) Vikakriteereitä käytetään tällä hetkellä kaikissa deterministissä analyyseissä lähestymistavasta riippumatta. Konservatiivisessa turvallisuusanalyysissä vikakriteeri oletetaan siihen järjestelmään tai komponenttiin, jonka vikaantumisella on suurin negatiivinen vaikutus tapahtumaan. (IAEA 2009, 15 16.) 2.5 Turvallisuusanalyysimenetelmät Valtioneuvoston asetus ydinvoimalaitoksen turvallisuudesta hyväksyy turvallisuusanalyysin laadintaan käytettävänä laskentamenetelmänä käsilaskuihin perustuvan menetelmän, tietokoneohjelmiston tai kokeellisen tiedon soveltamisen. Analyysikohteina ovat häiriö- ja onnettomuusanalyysit, sisäisten ja ulkoisten vaikutusten analyysit, lujuusanalyysit, vikasietoisuusanalyysit, vika-analyysit, vaikutusanalyysit sekä todennäköisyysperusteiset riskianalyysit. Turvallisuusanalyysit on pidettävä ajan tasalla päivittämällä ja täsmentämällä niitä käyttökokemusten, tutkimustulosten tai laitosmuutosten vaatiessa sekä laskentamenetelmien kehittyessä. Turvallisuusanalyysin tulosten lisäksi analyysin yhteydessä tulee esitellä analyysin

25 laskentaan käytetyt ohjelmistot, niiden soveltuvuus ja kelpuutus, numeeriset ratkaisut ja fysikaaliset mallit sekä perusteltava laskennassa käytettävät parametriarvot ja laitostiedot. Mikäli analyysin tekoon ei löydy vaadittavat ehdot täyttävää menetelmää, tulee analyysin tulos ja ratkaisu perustella kokeellisesti. (VNa 733/2008, 3 ; YVL B.3, 401 410.) Turvallisuusanalyysin laskentatulokset esitetään turvallisuuden kannalta keskeisten laitosparametrien tai muuttujien avulla, joita ovat esimerkiksi reaktoriteho, polttoaineen tai polttoaineen suojakuoren lämpötila, jäähdytyspiirin paine, syöttöveden virtaus, neutronivuo, polttoaineen kemiallinen koostumus tai nuklidikoostumus. Analyysin tulokset voidaan esittää myös esimerkiksi aiheutuneina säteilyannoksina. Analysoitaessa jäähdytteenmenetysonnettomuuksia turvallisuusanalyysissä tarkasteltavana tulosparametrina on usein polttoaineen suojakuoren maksimilämpötila MPCT (Maximum Peak Cladding Temperature). MPCT on korkein polttoainesauvojen suojakuorista mitattu lämpötila koko reaktorisydämen alueella. Sen avulla voidaan määrittää polttoaineen vaurioitumisen mahdollisuus ja ajankohta. MPCT on hyvä mittari polttoainesauvojen tiiviydelle ja koko sydämen jäähdytettävyydelle. Mitä enemmän MPCT ylittää hyväksymiskriteerin mukaisen raja-arvon, sitä todennäköisemmin ja laajemmin polttoainevaurio ja fissiotuotepäästö syntyvät. Suomessa YVL-ohje 6.2 määrittää MPCT:n arvoksi 1 luokan oletetuissa onnettomuuksissa 650 ºC ja 2 luokan oletetuissa onnettomuuksissa 1200 ºC. (IAEA 2008, 1; IAEA 2009, 8 9; OECD 2007, 17; YVL 6.2, 5 6.) Turvallisuusanalyysit laaditaan käyttämällä neutronien ketjureaktioita ja reaktorin jäähdytettävyyttä sekä polttoainetta tarkastelevia laskentaohjelmistoja. Ohjelmistoilla tarkastellaan ja lasketaan laitoksen termohydrauliikkaa, reaktorifysiikkaa ja nestedynamiikka. Ohjelmistoilla voidaan tarkastella yksittäistä ilmiötä tai yksittäisen komponentin suoriutumista transientissa tai tasapainotilassa. Yksittäin tarkasteltavia komponentteja ovat esimerkiksi polttoainesauvat, reaktorisydän, pumput, venttiilit ja lämmönvaihtimet. Yksittäin tarkasteltavia ilmiöitä ovat esimerkiksi kriittinen lämpövuo ja polttoaineen lämmönkehitys reaktiivisuuden muutoksen jälkeen. Termohydraulisilla laskentaohjelmilla mallinnetaan primääripiiriä, sekundääripiirin rajapintaa, suojarakennusta sekä muita laitoksen turvallisuudelle tärkeitä osia. Termohydrauliikkaa käytetään häiriö- ja onnettomuustilanteissa polttoaineen jäähdytyksen määrittämiseen.