30-06-2008

Sucesos iniciadores

Retirada de una modificación temporal sin haber reparado adecuadamente la instrumentación que la había provocado, lo que originó una reducción automática de potencia de la central.

El día 5/05/08, se declaró inoperable el termopar de referencia TA53T001, al presentar oscilaciones en el valor de su medida. El mismo día se instaló lo que en Trillo se denomina una "Alteración de Planta", es decir, una modificación temporal, mediante la cual se instalaba un registrador para el seguimiento de la temperatura y se anulaba en la tarjeta de instrumentación asociada el disparo de la bomba de refrigerante del reactor de referencia YD30D001 por alcanzarse una temperatura mayor de 80º C en la línea de retorno del agua de sellos de la bomba. El titular realizó diversas intervenciones para intentar localizar la causa del problema y el día 13 de mayo, al no haberse detectado ninguna anomalía y permanecer estable el valor registrado de temperatura, se consideró que el problema había desaparecido y se retiró la alteración de planta, activando de nuevo el disparo de la bomba del refrigerante del reactor por alta temperatura en el agua de sellos de la misma. El 14 de mayo se produjo un rápido aumento en el valor del termopar, lo que provocó el disparo automático de la bomba del refrigerante. Como consecuencia de la parada de la bomba se genera también de forma automática la señal de actuación correspondiente y, se reduce la potencia nuclear del reactor al 35%. Una vez instalada una nueva alteración de planta, que suponía anular nuevamente la actuación del disparo de la bomba por la señal de alta temperatura en el agua de sellos, se procedió al arranque de la bomba de refrigerante del reactor. El incumplimiento consiste en realizar por parte del titular una evaluación incorrecta del comportamiento de un equipo o componente, que provoca la actuación automática de bajada de potencia del reactor.

El incumplimiento afecta negativamente al pilar de seguridad de sucesos iniciadores, en el atributo de comportamiento de equipos, ya que la actuación de la bajada de potencia automática del reactor podría dar lugar a otro suceso más significativo desde el punto de vista de la seguridad. Se considera que la importancia para la seguridad del hallazgo es muy baja y, por tanto, se categoriza como verde.

Autorrevelado

20-09-2008

31-03-2008

Sucesos iniciadores

Procedimiento inadecuado para realizar una prueba funcional del sistema de protección contraincendios de algunos equipos no clasificados como de seguridad.

El procedimiento denominado “Prueba funcional de los sistemas pulverizadores y rociadores” se considera insuficiente para garantizar la operabilidad de los sistemas rociadores de agua en algunos transformadores no clasificados como de seguridad y, por tanto, no incluidos en las Especificaciones Técnicas de Funcionamiento. El procedimiento presenta, entre otras deficiencias, las siguientes: está poco sistematizado; contiene muy pocas instrucciones porque se apoya excesivamente en la experiencia de los ejecutores; los criterios de aceptación no están a veces claramente especificados, como es el caso de la obstrucción de boquillas de rociado y los esquemas de alineamientos introducidos como anexos en el procedimiento resultan ilegibles. El incumplimiento consiste en que el procedimiento se considera insuficiente para garantizar la funcionalidad del sistema de protección contra incendios (PCI), lo que va en contra de los criterios del Manual de Garantía de Calidad de la central.

A pesar de que el procedimiento se aplica sobre equipos no clasificados como de seguridad, es importante considerar que dichas comprobaciones se realizan sobre los sistemas de protección contra incendios de los transformadores de las alimentaciones eléctricas exteriores (220 y 400 kV), así como los de consumo propio (10 kV). Un problema en cualquiera de dichos transformadores representa una disminución de la fiabilidad del sistema de energía eléctrica auxiliar, aunque las redes de energía eléctrica exteriores que permanecen operables y los generadores diesel disponen de capacidad y redundancia eléctrica suficientes para asegurar el suministro de energía eléctrica a los sistemas de seguridad. El hallazgo afecta al objetivo de pilar de seguridad de sucesos iniciadores en su atributo de protección contra factores externos (en este caso, un fuego). Se considera que el nivel de degradación del sistema de protección contra incendios es bajo, por lo que el hallazgo tiene muy baja significación para la seguridad y se categoriza como verde.

CSN

20-06-2008

31-03-2008

Sucesos iniciadores

Elección inadecuada de una maniobra de entre las ofrecidas en el Manual de Operación, que provoca una parada automática de la turbina.

El día 24 de marzo de 2008 estaba prevista la maniobra de aislamiento de una parte del condensador (semicuerpo 6) para la limpieza de las cajas de agua. La maniobra se estaba realizando siguiendo el Manual de Operación, que en su apartado 6.7 proporciona instrucciones para el aislamiento de un semicuerpo del condensador. Se había realizado una pequeña bajada de potencia para compensar el cierre del semicuerpo que se iba aislar (de entre un 10 y un 15% posible -según el procedimiento- se decidió bajar la potencia un 10%). La central estaba funcionando con dos bombas de agua de circulación en marcha y se decidió que no era preciso arrancar una tercera. En el momento del cierre de la válvula de salida de la caja de agua se observó un valor anormalmente alto de la presión de vacío. Se decidió interrumpir la maniobra de cierre y se produjo la parada automática de la turbina. El Manual de Operación existente (que está más orientado al caso de rotura de tubos del condensador) y las decisiones tomadas en los momentos previos al incidente aumentaron la probabilidad de que se produjese la pérdida de vacío momentánea del condensador y la parada de la turbina. El incumplimiento consiste en que el Manual de Operación no contempla específicamente todas las situaciones posibles a considerar y el personal tomó decisiones no adecuadas a las condiciones de la planta.

Una parada automática de la turbina puede ser un precursor de un suceso más significativo para la seguridad, por lo que el incumplimiento afecta al pilar de seguridad de sucesos iniciadores. Debido al incumplimiento se produjo un aumento de la frecuencia o probabilidad de ocurrencia de un suceso que desafía la estabilidad de la central. El hallazgo tiene muy baja significación para la seguridad, por lo que se categoriza como verde.

CSN

20-06-2008

30-09-2008

Sistemas de mitigacion

El titular ha establecido una zona de acopio en un lugar inadecuado desde el punto de vista del riesgo de incendio.

La inspección encontró durante una ronda por planta, una zona de acopio donde había, entre otros residuos, varios bidones de gasóleo. La zona de acopio era contigua al muro perimetral del área de fuego donde se encuentra el tanque de almacenamiento de gasóleo del generador diesel correspondiente a la redundancia (tren) número tres. El recinto no era estanco, ni el muro perimetral poseía las características de barrera contra incendios especificadas en el manual de protección contra incendios de la central. El almacén no estaba dotado de medios de protección contra incendios, ni éstos se recogen en la ficha de actuación en caso de incendio que sería aplicable. Esta situación incumple el Manual de protección contra incendios de la central, en su apartado 5.1 relativo a las protecciones pasivas.

El hallazgo afecta al pilar de seguridad de sistemas de mitigación, en este caso a la zona de protección contra incendios próxima a un tanque de gasoil del generador diesel de una redundancia, aumentando el riesgo en la zona al no disponerse para el material combustible de una barrera cualificada. Considerando que la existencia de bidones de cualquier combustible líquido de alto punto de ignición que estén en recipientes homologados supone una degradación baja del sistema de protección contra incendios, el hallazgo se clasifica como de muy baja significación para la seguridad y se categoriza como verde.

CSN

22-12-2008

31-12-2007

Sistemas de mitigacion

Fallo de un generador diesel de salvaguardias durante la realización de una prueba exigida por un requisito de vigilancia del sistema.

El día 14/11/07, se declaró inoperable el generador diesel de salvaguardias denominado ¿GY20¿ debido a la existencia de una fuga de aceite ocurrida al presurizarse el circuito de lubricación del generador. La presurización del circuito se produjo como consecuencia de la colmatación del filtro antipartículas del motor de referencia GY21D001. Al revisar el equipo tras el fallo se encontraron daños en los cojinetes antifricción de las bielas A5 y B5. Este diesel se había traído desde fábrica tras haber sido prácticamente reconstruido y declarado operable el 30 de octubre, después de haber realizado el correspondiente mantenimiento preventivo. Los estudios del titular indican como posible causa del suceso la presencia de suciedad en el aceite de lubricación. Se realizó un estudio del estado de los cojinetes por una empresa contratada por el titular para averiguar el origen de la suciedad según el cual, se concluye que la suciedad original que dio origen a la colmatación del filtro antipartículas debe proceder en su mayor parte de la zona de aceite limpio del cárter del cigüeñal del motor ( informe de junio de 2008). El incumplimiento consiste en que ha habido una inadecuada supervisión de las condiciones de limpieza en las instalaciones del contratista que realizó las reparaciones después de anteriores fallos del motor o bien en las instalaciones del propio titular, lo que dió lugar a la entrada de suciedad en el motor. Esto supone una condición contraria a la calidad y está en contra de lo requerido por el Manual de Garantía de Calidad del titular sobre las condiciones de calidad en que deben realizarse las actividades de mantenimiento, pruebas etc de los equipos de seguridad.

El hallazgo afecta al pilar de seguridad de sistemas de mitigación, en el atributo de comportamiento de equipos. En el análisis de seguridad para determinar la importancia del hallazgo se observa que si el sistema afectado por el fallo son los generadores diesel de salvaguardia, el suceso iniciador sobre el que puede influir negativamente es la pérdida de potencia eléctrica exterior. Aunque se consideren dos generadores diesel fallados (el que falló realmente y otro más), la función de seguridad requerida de disponer de suministro de corriente continua no se perdería, ya que sería suficiente la existencia de un generador diesel operable de los cuatro de que dispone la central. Por ello, el hallazgo se considera que tiene una importancia para la seguridad muy baja y se categoriza como verde.

Autorrevelado

20-09-2008

30-06-2008

Sistemas de mitigacion

Inoperabilidad de un generador diesel de salvaguardias por entrada de partículas en la cámara de combustión del motor.

El día 1/2/08, se declaró inoperable el generador diesel de salvaguardias de referencia GY10 al detectarse una importante fuga de aceite de lubricación en el motor del generador en el transcurso de la ejecución de un arranque realizado por la exigencia de un requisito de vigilancia. Los daños se localizaron en la camisa y el pistón de un cilindro. Del análisis de los daños producidos se concluyó que los daños en el cilindro habían sido causados por la entrada de partículas duras a través del sistema de aire de alimentación. En consecuencia, se inspeccionaron todos los elementos que hubieran podido transportar dichas partículas a los cilindros, sin encontrarse desperfectos ni suciedad en los mismos. A la vista de los resultados de la inspección realizada al equipo, el generador diesel se consideró de nuevo operable el 23 de febrero. El informe de fecha 12/02/08 sobre la investigación de las causas del incidente atribuye los daños observados a la aspiración de unas pequeñas partículas duras junto con el aire de combustión. Se considera que el momento más crítico para la introducción de la suciedad en el sistema de aire puro sería al colocarse el motor en la instalación en el conjunto del generador diesel. El informe califica la avería como fallo único, descartando que pueda afectar al resto de motores diesel. El incumplimiento consiste en una inadecuada supervisión de las condiciones de limpieza en las instalaciones del contratista que revisó los motores o bien en las del propio titular. Esto supone una condición adversa a la calidad que pudo ser corregida y está en contra de lo establecido en el Manual de Garantía de Calidad de la central para las actuaciones sobre equipos de seguridad.

El hallazgo afecta al pilar de seguridad de sistemas de mitigación, en el atributo de comportamiento de equipos. En el análisis de seguridad para determinar la importancia del hallazgo se observa que si el sistema afectado por el fallo son los generadores diesel de salvaguardia, el suceso iniciador sobre el que puede influir negativamente es la pérdida de potencia eléctrica exterior. Aunque se consideren dos generadores diesel fallados (el que falló realmente y otro más), la función de seguridad requerida de disponer de suministro de corriente continua no se pierde, ya que sería suficiente la existencia de un generador diesel operable de los cuatro de que dispone la central. Por ello, el hallazgo se considera que tiene una importancia para la seguridad muy baja y se categoriza como verde.

Autorrevelado

20-09-2008

31-03-2008

Sistemas de mitigacion

Incapacidad de una barra de control para insertarse en el núcleo probablemente debido a su degradación por errores de fabricación.

El día 27 de marzo de 2008, se observó que la barra de control de referencia S91 no podía ser insertada completamente en su posición en el núcleo del reactor. En cumplimiento de las especificaciones de funcionamiento el titular inició la secuencia de parada de la central. La barra de control había sido declarada inoperable el 25 de marzo, al comprobarse que no era posible su extracción completa del núcleo, aunque en ese momento sí se insertaba correctamente. Una vez abierta la tapa de la vasija del reactor y extraída la barra de control, se observó que faltaba una varilla y la tuerca de sujeción de ésta al conjunto de varillas que forma la barra de control. Se realizaron análisis metalográficos de la zona de la rotura de la varilla y se determinó por el titular que se debía a un fenómeno degradatorio inducido por contaminación por cloruros, y que la rotura se había producido unos 3 meses antes del incidente de su atascamiento en el núcleo del reactor. Los mismos estudios concluían que dicha contaminación debía de haberse producido durante el proceso de fabricación de la barra de control. El titular incumple sus procedimientos de supervisión de contratistas al no realizar ningún tipo de verificación en el suministro de barras de control realizado por el fabricante, en el que se incluía esta barra defectuosa, lo que implica un incumplimiento del Manual de Garantía de Calidad de Trillo.

Se considera que el suceso constituye una degradación de la función de control de la reactividad, aunque dentro de los márgenes de diseño de la central. Hay que tener en cuenta que únicamente se había perdido la capacidad de inserción de una barra de control en el núcleo del reactor, lo que ya está considerado y cubierto por el análisis de accidentes de la central. Por dicha razón, se considera que no se produciría una degradación en la barrera que supone la vaina de combustible para los productos de fisión y, por lo tanto, únicamente estaría afectado el pilar de seguridad de sistemas de mitigación. El hallazgo tiene muy baja significación para la seguridad y se categoriza como verde.

Autorrevelado

20-06-2008

31-12-2007

Sistemas de mitigacion

Utilización de juntas de sellado defectuosas en las válvulas que controlan la temperatura del agua de refrigeración de los motores de los generadores diesel.

El día 20/9/07, se declaró inoperable el generador diesel denominado GY20 debido al fallo de la válvula termostática que regula la temperatura del agua de refrigeración del mismo. El análisis de las causas de este incidente realizado por el titular permitió descubrir la existencia de carencias en el mantenimiento de las citadas válvulas termostáticas de los motores diesel. El titular realizó informes de experiencia operativa y de mantenimiento de las mismas, además de una revisión de todos los motores para comprobar su estado. De dicha revisión se pude concluir que los generadores más susceptibles de fallo fueron dos: el GY20, que disparó el 20 de septiembre, con las juntas completamente rígidas y el GY40, en el cual se encontraron las juntas de las válvulas termostáticas en un estado de rigidez parcial. En el caso de haberse producido el arranque de un diesel de emergencia por una señal de actuación, con la válvula reguladora en esas condiciones, se desconoce cuanto tiempo hubiera podido funcionar el diesel hasta disparar por una temperatura excesiva en el motor. El titular ha fallado en no seguir las recomendaciones del fabricante sobre durabilidad en condiciones de almacén y en servicio de los termoelementos y las juntas de los mismos, puesto que los empleó pese a haberse sobrepasado su vida útil.

El peor fallo a considerar sería que se atascase la válvula termostática por el deterioro de la junta de la misma; esto provocaría un aumento brusco de la temperatura de refrigeración del motor, como ocurrió el día 20/9/07. A la vista del estado de los elementos deteriorados se hubiera podido provocar, como mucho, el fallo en operación de dos de los cuatro generadores. El fallo se produciría en el transcurso de la operación continuada de los mismos, y no en el mismo instante del arranque. El hallazgo afecta al objetivo del pilar de seguridad de sistemas de mitigación en su atributo de calidad de los procedimientos. Se utiliza para el análisis de la importancia para la seguridad del suceso la hipótesis de que pudieran fallar a la vez dos de los cuatro generadores cuando se necesitaran los diesel durante un largo espacio de tiempo. Aunque se consideren dos generadores diesel fallados, la función de seguridad requerida se puede realizar con total seguridad con los dos restantes, por lo que el hallazgo se considera de muy baja significación para la seguridad y se categoriza como verde.

Autorrevelado

20-03-2008

30-09-2008

Protección radiológica ocupacional

Posibilidad de una dispersión de material radiactivo durante la ejecución de unas maniobras fuera de la zona controlada de la central.

Durante el traslado de un contenedor de combustible desde el interior del edificio de contención hasta el almacén temporal intermedio (ATI) éste fue acompañado por diversos operarios que salieron de la zona controlada a través de la escalera de la grúa de manejo del contenedor y no a través de la salida habitual de la zona controlada. Previamente a abandonar la plataforma de la grúa, los operarios fueron chequeados con un contaminómetro portátil. Dichos operarios atravesaron la zona libre de contaminación de la central y entraron en la zona del almacén temporal que tiene a su vez consideración de zona controlada. Al abandonar la zona controlada del almacén, el pórtico de salida detectó contaminación en su calzado; los operarios se quitaron el elemento afectado y salieron de la zona. El procedimiento titulado “Normas de acceso y salida de zona controlada” no contempla la forma de proceder de los operarios que acompañaban al contenedor cargado desde el edificio de contención hasta el almacén ATI. Se considera que el hallazgo indica una posible vulnerabilidad a la dispersión de contaminación de la zona controlada a la zona limpia de la central, aunque con un nivel de riesgo muy bajo.

El hallazgo afecta al pilar de seguridad de protección radiológica de los trabajadores. Teniendo en cuenta que el hallazgo no supone un incumplimiento del programa ALARA, ni implica una sobreexposición real o potencial de algún trabajador, ni tampoco un fallo en el sistema de determinación de dosis del titular, se clasifica como de muy baja significación para la seguridad y se categoriza como verde.

CSN

22-12-2008

30-10-2007

Protección radiológica del público

Deficiencias en el inventario, registro y control de los residuos radiactivos de alta actividad almacenados en la piscina de combustible gastado de la central.

La inspección del CSN constató que el titular de la central nuclear de Trillo no disponía de un inventario correcto (número exacto) de las espigas de alineamiento de elementos combustibles ("pins"), desprendidas de la placa superior de soporte del núcleo, perteneciente a los internos superiores de la vasija del reactor, y que se encuentran, según manifestaron los representantes del titular, almacenadas en la piscina de combustible gastado. Otros residuos almacenados en la piscina de combustible (como por ejemplo, elementos de la instrumentación interna del reactor que están colgados en cables de acero) carecían de etiquetas que los identificaran individualmente y que describieran sus características físicas o radiológicas. No existe registro alguno de otro residuo radiactivo que estaba colgado de un cable de acero sin etiqueta identificativa alguna e igualmente almacenado de forma temporal en la piscina de combustible. Se considera que la gestión de los residuos radiactivos de alto nivel de actividad es una actividad relacionada con la seguridad de la central y, sin embargo, no existe para ella un procedimiento específico sobre control y mantenimiento del sistema documental y la base de datos informática asociada. Esto origina un inventario inexacto e incompleto de los residuos radiactivos de alto nivel almacenados en la piscina de combustible gastado.

El incumplimiento afecta al pilar de protección radiológica del público, ya que supone un fallo en la capacidad del titular para prevenir la pérdida de control, física o documental, asociada al combustible gastado y los residuos de alta actividad en zonas de almacenamiento temporal (piscina o almacén de contenedores en seco). En particular, se incumple la capacidad del titular para detectar fallos en el proceso de registro y en la trazabilidad de los datos necesarios para la toma de decisiones sobre la gestión posterior de los residuos radiactivos de alta actividad. Se considera que el hallazgo tiene un impacto reducido desde el punto de vista de la seguridad y la protección radiológica, por lo que se categoriza como verde.

CSN