29-03-2012

Sucesos iniciadores

Parada automática del reactor por actuación incorrecta de la válvula de baipás de turbina

El día 26/03/12, el titular realizó las pruebas de medida del tiempo de parada automática del reactor mediante la inserción de unas barras de control seleccionadas, para cumplir con el requisito de vigilancia correspondiente. Antes de realizar la prueba a una barra determinada, se decidió abrir la válvula de bypass de la turbina para facilitar la respuesta de la central ante los cambios en la presión que se iban a originar con la inserción rápida de la barra de control en el núcleo del reactor. Para abrir esta válvula se hizo uso de la maneta de apertura de la válvula de bypass del panel de sala de control, lo que origina una señal de apertura continua de la válvula de bypass y de las válvulas de control de la turbina. Esta señal se sobrepone a la señal de salida del regulador principal de presión. La apertura de las válvulas de control queda limitada por el limitador de carga, pero la válvula de bypass abre sin ninguna limitación por lo que se produjo una despresurización continua de la vasija hasta alcanzar la presión de 58 kg/cm2, así como una señal de aislamiento del grupo 1 con la maneta de modos del reactor en MARCHA, lo que originó el cierre de las válvulas de aislamiento de vapor principal y con ello la parada automática del reactor. En el momento en que sucedió el incidente descrito, no existía ninguna instrucción ni procedimiento específico que indicara la manera adecuada de realizar la apertura de la válvula de bypass de la turbina de forma controlada, permitiendo que la señal del regulador principal de presión siguiera controlando la posición de las válvulas de control de la turbina. Este hecho constituye un incumplimiento del Manual de Garantía de Calidad de la central, donde se establece que todas las actuaciones significativas que se realicen en la central deben estar adecuadamente descritas en las correspondientes instrucciones, procedimientos y planos.

El hallazgo afecta negativamente al pilar de seguridad de sucesos iniciadores en lo que se refiere al atributo del comportamiento humano. Teniendo en cuenta que el hallazgo contribuye a aumentar la probabilidad de que se origine una parada automática del reactor, pero no a la probabilidad de que no estén disponibles los equipos y funciones de mitigación requeridas en caso de transitorios o accidentes, se concluye que la importancia para la seguridad del hallazgo era muy baja y se categoriza como verde.

CSN

28-06-2012

31-12-2012

Sistemas de mitigacion

Puerta con función de barrera contra incendios bloqueada abierta sin el debido control administrativo

El día 8/11/12, la inspección encontró que la puerta de separación entre dos áreas de fuego en el edificio de servicios estaba abierta y bloqueada en esa posición. Una de las áreas contiene equipos relacionados con la seguridad y con la parada segura, por lo que dicha puerta está dentro del alcance de las barreras de fuego del Manual de Requisitos de Operación (MRO) y le aplican las acciones correspondientes en caso de falta de funcionalidad de las barreras resistentes al fuego. Tal y como se comprobó en los listados de seguridad física de los estados de alarma de la puerta, el tiempo en que ésta había estado bloqueada abierta no había superado el establecido por el MRO para tomar acciones en caso de falta de funcionalidad que es de una hora. El hecho de bloquear abierta una puerta que es barrera de resistencia al fuego, sin avisar a sala de control tal y como establecen los dos carteles que hay en la misma puerta supone un incumplimiento del procedimiento “Organización de la protección contra incendios”. El apartado 2 de este procedimiento señala que la protección contra incendios es una cuestión que incumbe a todos los presentes en la central, por lo que deben respetar las normas y cumplir los procedimientos, informando inmediatamente al personal de la sala de control de cualquier anomalía relacionada con el sistema de protección contra incendios.

El hallazgo afecta al atributo de protección contra factores externos, en este caso un fuego, del pilar de seguridad de sistemas de mitigación. Se considera que el hallazgo pertenece a la categoría de “confinamiento de incendios” y que la barrera cortafuegos tiene un nivel de degradación bajo, dado que el tiempo que la puerta no estuvo funcional por estar bloqueada abierta fue inferior al tiempo permitido por el MRO antes de que se requiera tomar acciones complementarias. Considerando que la barrera cortafuegos tenía un nivel de degradación bajo, el hallazgo tiene muy baja significación para la seguridad y se categoriza como verde.

CSN

20-03-2013

30-09-2012

Sistemas de mitigacion

Ausencia de comprobación de que la línea sensora no está obstruida durante la calibración de los interruptores de nivel del tanque de condensado

El día 1/8/12, durante la ejecución del procedimiento de vigilancia sobre calibración y prueba funcional de la instrumentación de nivel del tanque de condensado que interviene en la lógica de funcionamiento del sistema de inyección de agua en la vasija a alta presión, se observó que no existía ninguna instrucción explícita para revisar y confirmar que no está obstruida la línea sensora superior que comunica los interruptores de nivel con el tanque de condensado. Estos interruptores vigilan el nivel del tanque mediante un sistema de vasos comunicantes con ayuda de dos líneas sensoras que salen del tanque a través de dos válvulas raíces, de modo que para que el nivel del tanque se pueda vigilar correctamente ninguna de las dos líneas sensoras debe estar obstruida. Posteriormente, el día 9/8/12, el titular realizó comprobaciones que demostraron que el tramo de la línea sensora no presentaba ninguna obstrucción que pudiese impedir a los instrumentos de los interruptores de nivel cumplir su función. La falta de instrucciones concretas que conduzcan a verificar que el estado de las líneas sensoras es aceptable y que no están obstruidas constituye un incumplimiento de la reglamentación que aplica a la central, en lo referente a las líneas sensoras de los interruptores de nivel.

El hallazgo afecta al pilar de seguridad de sistemas de mitigación en lo que se refiere al comportamiento de los equipos. Teniendo en cuenta que, tras una verificación posterior realizada por el titular, se demostró que en el tramo de la línea sensora no había ninguna obstrucción que pudiese impedir a los instrumentos de los interruptores de nivel cumplir su función, el hallazgo tiene muy baja significación para la seguridad y se categoriza como verde.

CSN

20-12-2012

28-06-2012

Sistemas de mitigacion

Omisión de la evaluación de operabilidad del sistema de rociado del núcleo a baja presión con la bomba del sistema de inyección a baja presión parada

El día 18/04/12, durante la prueba periódica de funcionamiento del sistema de inyección de agua en el reactor a alta presión (HPCI), arrancaron las dos bombas principales del sistema de inyección a baja presión (LPCI) en el modo enfriamiento del agua del toro. Esto se hace para refrigerar el agua que se calienta por la acción del vapor que acciona la turbina del sistema HPCI. Tras el arranque, se procedió a parar la bomba de presión del sistema (“bomba presionadora”) LPCI, con el objeto de protegerla de un caudal mínimo de recirculación, ya que su válvula de caudal mínimo se encontraba cerrada. Debido a que la bomba de presión del sistema LPCI es la misma que la del sistema de rociado del núcleo a baja presión (CS), al pararla, el sistema de rociado quedó también parado y sin una bomba de presión que garantizase el correcto llenado del circuito en caso de ser necesaria la actuación del sistema de seguridad durante el tiempo que duró la prueba (6 horas). En ese tiempo el titular no realizó una valoración del estado de operabilidad del sistema de rociado del núcleo. Aunque es una práctica habitual el alinear el sistema de transferencia de condensado a los sistemas LPCI y CS cuando la bomba de presión está parada, en esta ocasión, no se hizo. Durante el tiempo que estuvo parada la bomba citada, la presión en el sistema de rociado descendió hasta 1.3 Kg/cm2, a pesar de que existe una alarma en la sala de control de baja presión en el colector de la descarga de cualquiera de los dos trenes del sistema que está tarada en 2,5 kg/cm2. El titular incumplió el procedimiento relativo al tratamiento de condiciones anómalas de estructuras, sistemas y componentes, pues al realizar la prueba del sistema de inyección a alta presión, paró la bomba de presión del sistema de inyección a baja presión sin alinear simultáneamente el sistema de transferencia de condensado. En esa situación operativa puede entrar aire en las tuberías del sistema de rociado y dificultar su arranque en caso necesario. Por otra parte, no se realizaron comprobaciones adicionales para poder garantizar el correcto llenado y venteo de los dos trenes del sistema de rociado del núcleo, a la vista del descenso significativo de la presión en la descarga de las bombas del sistema, sin realizar una evaluación de la operabilidad del sistema.

El fallo consiste en que, durante un tiempo aproximado de seis horas, se ha producido una degradación de un sistema de seguridad no evaluada por el titular debido al incumplimiento del procedimiento relativo al tratamiento de condiciones anómalas de estructuras, sistemas y componentes. Este hecho constituye un hallazgo ya que afecta negativamente al control de la configuración, el comportamiento de los equipos y la calidad de los procedimientos del pilar de seguridad de sistemas de mitigación. Teniendo en cuenta que tras una verificación posterior realizada por el titular, se comprobó que tras finalizar la prueba no había entrado aire en el sistema, se puede garantizar el correcto llenado y venteo de los dos trenes del sistema de rociado del núcleo y que el incumplimiento no dejó inoperable en ningún momento el sistema. El hallazgo se clasifica como de muy baja significación para la seguridad y se categoriza como verde.

CSN

28-09-2012

29-03-2012

Sistemas de mitigacion

Alcance insuficiente de las pruebas post mantenimiento de una válvula del sistema de control líquido de reserva

El día 21/02/12 se realizó el mantenimiento a potencia (MAP) del tren A del sistema de control líquido de reserva cuyo alcance estaba reducido a: la revisión de una válvula y del motor de la bomba del tren A, la calibración de la instrumentación de vigilancia de la alimentación eléctrica y la continuidad de la válvula de actuación inmediata del sistema. Ese mismo día, una vez finalizados los trabajos del MAP, se procedió a realizar la prueba de vigilancia para comprobar el correcto funcionamiento de las bombas del sistema y la operabilidad de sus válvulas, como prueba de post-mantenimiento. La inspección revisó los criterios de aceptación establecidos en el procedimiento de prueba para demostrar que el accionamiento para el cierre de la válvula era correcto, entre otras cosas, y no encontró ninguna instrucción cuyo cumplimiento satisfactorio permitiera asegurar que la válvula cerraba correctamente. Al mencionarle al titular esta circunstancia, éste decidió realizar un cambio en el procedimiento para verificar el cierre de dicha válvula, comprobando que la indicación de presión no varía con el arranque y funcionamiento de la bomba del otro tren B. Se ejecutó de nuevo el procedimiento de prueba de esta forma y se comprobó que la válvula funcionaba correctamente en el accionamiento para el cierre. El titular falló al realizar una prueba para verificar que la válvula cerraba correctamente tras haber realizado sobre ella un mantenimiento que podía afectar a su función de cierre, sin disponer de ningún criterio de aceptación que permitiera dar como bueno el resultado de la misma. Esta ausencia de un criterio de aceptación objetivo constituye un incumplimiento del procedimiento relativo a las pruebas de post-mantenimiento.

El hallazgo afecta al atributo de calidad de los procedimientos del pilar de seguridad de sistemas de mitigación. Para valorar la importancia para la seguridad del hallazgo hay que tener en cuenta que el titular realizó un cambio al procedimiento, tras el cual se comprobó fehacientemente que la válvula funcionaba correctamente, y que el hallazgo no ha supuesto la pérdida de una función de seguridad completa, ni de un tren completo de un sistema durante un tiempo mayor del permitido por las especificaciones de funcionamiento de la central. Por ello, el hallazgo se valora como de muy baja significación para la seguridad y se categoriza como verde.

CSN

28-06-2012

29-03-2012

Sistemas de mitigacion

Error en el análisis de viabilidad específico para la concesión de un permiso para realizar mantenimiento a potencia

El titular, mediante un permiso de trabajo de operación, autorizó la realización de un mantenimiento a potencia sobre el tren A del sistema de inyección a baja presión, en coincidencia con el vaciado para mantenimiento de la cántara C de la estructura de toma que se había iniciado el día anterior. Esta configuración dejaba fuera de servicio la bomba del tren B de agua de servicios y la bomba del tren B del sistema de inyección a baja presión. El análisis de viabilidad realizado específicamente para conceder este permiso le asignó equivocadamente un color amarillo, por lo que se autorizó a llevarlo a cabo, a pesar de que en el análisis realizado en el momento de conceder el descargo mediante el monitor de seguridad le asignaba un color naranja. Comprobada la discrepancia entre los resultados del análisis de viabilidad específico y lo representado en el monitor de seguridad, se encontró que los primeros no eran correctos. Se decidió entonces suspender los trabajos de mantenimiento de la cántara, llenándola de nuevo y se devolvió la funcionalidad a la bomba de agua de servicios del tren B. El incumplimiento consistió en cometer un error en la estimación del riesgo de la situación en que se iba a realizar el mantenimiento a potencia, así como en la aplicación inadecuada del procedimiento de uso del monitor de seguridad.

El hallazgo afecta al pilar de seguridad de sistemas de mitigación y está relacionado con el mantenimiento y el control de trabajos emergentes. Para valorar la importancia para la seguridad del hallazgo hay que tener en cuenta que el mismo no ha supuesto la pérdida de una función de seguridad completa, ni de un tren completo de un sistema durante un tiempo mayor del permitido por las especificaciones de funcionamiento de la central. Por ello, el hallazgo se valora como de muy baja significación para la seguridad y se categoriza como verde.

CSN

28-06-2012

29-03-2012

Sistemas de mitigacion

Desconexión inadvertida de diversos cables en un transmisor de caudal del sistema de agua de servicios

El día 12/12/11, durante la ejecución de una prueba de vigilancia, se observó que, estando la bomba del lazo B del sistema de agua de servicios (SW) arrancada para suministrar caudal al sistema de inyección a baja presión (LPCI), el indicador en la sala de control no reflejaba el caudal suministrado por la misma. También se observó una discrepancia no esperada en la presión diferencial en el cambiador de calor entre ambos sistemas. Investigada la causa de estas anomalías el titular encontró que el transmisor de caudal, que suministra señal de caudal del sistema referido al indicador de sala de control, tenía dos terminales desconectados de sus bornas en el interior de la caja de conexiones del panel correspondiente. Con estos cables sueltos, la señal de caudal de los sistemas SW/LPCI tampoco progresaba hacia el lazo de control de la válvula que participa en el control de caudal del sistema y de la presión diferencial del cambiador. El control de la válvula fue completamente anómalo, situándose la misma en una posición no esperada, por lo que la prueba fue interrumpida. La desconexión del cable se produjo por error durante la ejecución de una orden de trabajo el día 22/11/11. Este hecho constituye un incumplimiento de la citada orden de trabajo y del permiso de trabajo de operación con el que fue ejecutada la orden de trabajo mencionada.

El incumplimiento de la orden de trabajo y del permiso de trabajo de operación constituye un hallazgo que afecta al pilar de seguridad de sistemas de mitigación en lo que se refiere al control de diseño. La falta de control de la configuración sobre las conexiones eléctricas en la central podría afectar a las funciones de seguridad de los sistemas, dependiendo sólo de las bornas que estuvieran afectadas. Teniendo en cuenta que el incumplimiento no dejó inoperables en ningún momento los sistemas de agua de servicios ni de inyección de agua a baja presión en la vasija del reactor, el hallazgo se clasifica como de muy baja significación para la seguridad y se categoriza como verde.

Autorrevelado

28-06-2012

29-03-2012

Integridad de barreras

Error al realizar un permiso de trabajo de operación que deja inoperables los analizadores de oxígeno de la contención primaria

El día 06/02/12, durante la ejecución del procedimiento de calibración y prueba funcional de la instrumentación de medida de rango de accidente de la concentración de oxígeno e hidrógeno en la atmósfera de la contención primaria, se observó que el termostato de un analizador estaba excesivamente caliente. Se declararon inoperables los analizadores de hidrógeno y oxígeno y el mismo día se abrió un permiso de trabajo para analizar el problema. Durante la revisión del termostato, por un error humano, se abrió un interruptor del panel de instrumentación del sistema de toma de muestras post-accidente (PASS), lo que produjo la pérdida de la alimentación eléctrica a un relé que pertenece a la lógica de actuación de las válvulas de toma de muestras de la contención primaria. La desenergización del relé provocó el cierre de las válvulas, que no vuelven a abrir al recuperarse la tensión de alimentación dado que se trata de una lógica sellada que requiere accionar un pulsador situado en los paneles de la sala de control para rearmarla. Por ello, al recuperarse la tensión de alimentación al relé, las válvulas permanecieron cerradas, produciéndose la inoperabilidad del sistema de analizadores de oxígeno de la contención primaria para rango de accidente, requerido por las especificaciones técnicas. La apertura del interruptor del panel de instrumentación del sistema de toma de muestras post-accidente no formaba parte del alcance del permiso de trabajo que se estaba realizando, por lo que la actuación del titular supuso un incumplimiento al realizar una maniobra no incluida en el permiso.

El incumplimiento del permiso de trabajo de operación (PTO) constituye un hallazgo que afecta negativamente al pilar de seguridad de integridad de las barreras, en lo que se refiere al control de la configuración para mantener la integridad de la contención. El hallazgo observado no supone una vía abierta real en la integridad física de la contención del reactor o una reducción real de la función de control de presión de la atmósfera de la contención. Por ello, el hallazgo no implicó la pérdida completa de ninguna función de seguridad de la central ni de un tren de un sistema de seguridad por un periodo mayor del establecido en las especificaciones de funcionamiento, por lo que se clasifica de muy baja significación para el riesgo categorizándolo como verde.

CSN

28-06-2012

31-12-2012

Protección radiológica ocupacional

Acceso a un área que es zona controlada señalizado erróneamente

El día 22/11/12 en el transcurso de una inspección relativa al control de accesos a zona controlada se detectó que un cartel que indica la clasificación radiológica y las medidas de protección que deben tomarse antes de franquear un punto no estaba colocado como debía sobre la esquina de acceso al rincón de la bomba de sumideros de la sala de baterías. Posteriormente se vio que el cartel con el trébol verde se había trasladado a la puerta de acceso al área aledaña de la sala de baterías del tren A. Preguntado el titular por los motivos de la nueva ubicación de la señal, éste admitió que se trataba de un error y procedió a recolocarla justo a la entrada del rincón donde está ubicada la bomba. Se comprobó la tasa de dosis de la zona y se confirmó que oscilaba en todo el interior del rincón de la bomba entre 9 y 10 µSv/h, como es habitual en esa zona. La colocación incorrecta de la señal de clasificación radiológica del área de la bomba de sumideros de la sala de baterías situada en el edificio de turbina constituye un incumplimiento del procedimiento de clasificación y señalización de zonas y, en particular del apartado sobre señalización, delimitación y actualización de zonas que, entre otras cosas, establece lo siguiente: las zonas vigiladas y controladas estarán delimitadas adecuadamente y señalizadas de forma que quede manifiesto el riesgo de exposición existente en las mismas.

El incumplimiento afecta al atributo de instalación de la central / equipamiento e instrumentación del pilar de seguridad radiológica de los trabajadores. El incumplimiento no supone una exposición potencial de ningún trabajador de la central ya que se tiene en cuenta unos niveles de tasa de dosis del orden de 10 µSv/h, y las características de la zona, a saber, un rincón de un área del edificio de turbina, que no es zona de paso y que sólo contiene en su interior la bomba citada y un instrumento de nivel. El tiempo dedicado al mantenimiento de esos dos equipos es muy inferior a 100 horas al año, que sería la permanencia en la zona requerida para superar el límite de dosis anual a un miembro del público, con la tasa de dosis existente en la misma. Teniendo en cuenta que no se trata de un incumplimiento del programa ALARA y que no ha supuesto una sobre exposición real ni potencial para ningún trabajador, el hallazgo tiene muy baja significación para la seguridad y se categoriza como verde.

CSN

20-03-2013