30-06-2011

Sucesos iniciadores

Realización de un puente en un armario de instrumentación sin advertir al personal de la sala de control

El día 01/06/11 apareció en la sala de control la alarma de disparo del generador principal por fallo de la excitación, y el operador la devolvió a su posición inicial de inmediato, sin que ello provocara otras alarmas simultáneas ni las acciones automáticas esperadas (disparo del generador principal, disparo de turbina y parada automática del reactor). El procedimiento de operación indica que en caso de que aparezca esa alarma y no se produzcan automáticamente las actuaciones citadas, los operadores deberán realizarlas manualmente. Tras consultar el turno de operación los procedimientos de disparo de turbina y/o generador principal, realizaron una inspección visual de los armarios que alojan las matrices de disparo. Allí se comprobó que un operario de mantenimiento eléctrico que estaba realizando comprobaciones en el armario de los osciloscopios del generador principal había realizado un puente en la instrumentación, lo que probablemente causó la aparición espuria de la alarma. El titular incumplió el procedimiento que establece la obligatoriedad para todo el personal de avisar a la sala de control antes de iniciar un trabajo que pueda afectar a los operadores.

El hallazgo afecta al objetivo del pilar de seguridad de sucesos iniciadores. Teniendo en cuenta que el incumplimiento no ha provocado un incremento en la probabilidad de ocurrencia de un accidente con pérdida de refrigerante, ni de una parada automática del reactor con funciones de mitigación no disponibles, ni de un incendio o inundación, se concluye que el mismo es muy poco significativo para el riesgo y se categoriza como verde.

Autorrevelado

20-09-2011

30-06-2011

Sucesos iniciadores

Error al aplicar el par de apriete en el proceso de montaje tras una revisión general de la válvula de rociado del presionador

El día 15 de mayo de 2011, con la central en condiciones nominales del 100% de potencia se inició una parada no programada de la central debido a que la válvula de rociado del presionador se encontraba ligeramente abierta pese a que la indicación en la sala de control era de completamente cerrada. En la inspección de la válvula se observó que en el mecanismo de transmisión actuador-válvula, el tornillo-eje de acoplamiento de la unión entre la rótula de la biela y la horquilla de manivela del vástago de la válvula estaba parcialmente fuera de su alojamiento y, además, la tuerca de fijación del tornillo-eje estaba desprendida dentro de la válvula. En ese estado la válvula no podía responder a las demandas de cierre. Se identificó como causa del fallo que el apriete de la tuerca contra el tornillo no fue correcto, posiblemente debido a no utilizar herramientas de prevención del error humano. Se trata de una situación adversa a la calidad, pues el titular falló al realizar el montaje de la válvula, devolviéndola a la situación de operable sin que nadie se percatara del error en el par de apriete.

El hallazgo afecta al objetivo del pilar de seguridad de sucesos iniciadores. Teniendo en cuenta que el incumplimiento no ha provocado un incremento en la probabilidad de ocurrencia de un accidente con pérdida de refrigerante, ni de una parada automática del reactor con funciones de mitigación no disponibles, ni de un incendio o inundación, se concluye que es muy poco significativo para el riesgo y se categoriza como verde.

Autorrevelado

20-09-2011

03-10-2011

Sistemas de mitigacion

Fallos de registradores del sistema de vigilancia post-accidente por falta de repuestos

En la recarga que tuvo lugar entre febrero y marzo de 2011 estaba prevista la sustitución en casi todos los registradores instalados en la central (29 en total) de un fusible, del módulo pantalla-iluminación y de las juntas de los citados registradores. Sin embargo, esta sustitución no fue realizada por disponer el titular de pocos repuestos y preferir reservarlos para posibles mantenimientos correctivos en el caso de sufrir averías. Posteriormente, durante el año 2011, se han producido una serie de fallos en estos registradores por apagado de su pantalla, debido a una anomalía en el conjunto pantalla-iluminación. El número de fallos provocó la superación del criterio de comportamiento de la Regla de Mantenimiento. En el análisis de determinación de causa realizado por el titular se concluyó que los fallos se debieron a la falta de repuestos, y que si éstos se hubieran cambiado en la recarga anterior, como estaba previsto, los registradores no habrían fallado. El titular ha incumplido el Manual de garantía de calidad, en los capítulos relativos al control de materiales, equipos y servicios adquiridos, así como a la identificación y control de materiales, partes y componentes. Los incumplimientos se deben a que cuando se adquirieron los registradores en el año 2004, no se verificaron las características del conjunto pantalla-iluminación, y no se identificó que tenían un periodo limitado de vida útil. Por ello, no se previeron las acciones necesarias para su sustitución periódica y para la obtención con tiempo suficiente de repuestos cualificados. Adicionalmente, no se establecieron medidas para identificar y controlar estos componentes y evitar su utilización errónea más allá de su vida útil.

El hallazgo está asociado al pilar de seguridad de sistemas de mitigación, en lo que se refiere a la fiabilidad y disponibilidad de los componentes. Para valorar la importancia para la seguridad del hallazgo hay que tener en cuenta que han fallado algunos registradores por no sustituir los componentes antes del final de su vida útil, pero el fallo de los instrumentos no ha supuesto la pérdida de una función de seguridad completa, ni de un tren completo de un sistema de seguridad durante un tiempo mayor del permitido por las especificaciones de funcionamiento de la central. Por ello, el hallazgo se valora como de muy baja significación para la seguridad y se categoriza como verde.

CSN

30-09-2011

Sistemas de mitigacion

Puerta considerada como barrera contra incendios encontrada abierta y sin control administrativo

El día 19/09/11, durante una ronda por la cota 100 del edificio de turbina, la inspección observó que una puerta regulada por las Especificaciones Técnicas de Funcionamiento (ETF) de la central, se encontraba abierta y no estaba controlada administrativamente por el titular. Se observó que no había personal trabajando en la zona. El titular ha incumplido el procedimiento por el cual toda puerta calificada como barrera de resistencia al fuego en el sistema de protección contra incendios debe permanecer cerrada, a menos que la misma se haya declarado inoperable y se hayan tomado las medidas compensatorias recogidas en las ETF, circunstancia que no se producía en este caso. No se puede asegurar que se haya incumplido la ETF referida, porque no se tiene constancia de que el tiempo durante el que la puerta estuvo inoperable por encontrarse abierta, fuera superior al establecido en la acción de la especificación de funcionamiento que es de1 hora.

El hallazgo afecta negativamente al pilar de seguridad de sistemas de mitigación, en lo que se refiere a protección contra factores externos, en este caso un fuego. Teniendo en cuenta que los sistemas de detección y extinción de incendios a ambos lados de la puerta estaban totalmente operables sin ningún tipo de degradación, a la puerta afectada por el hallazgo se la asigna un nivel de degradación moderado bajo. Por ello, el hallazgo tiene muy baja significación para la seguridad y se categoriza como verde.

CSN

19-12-2011

31-12-2010

Sistemas de mitigacion

Fallo de tarjetas electrónicas por envejecimiento de los condensadores electrolíticos

El día 11/11/10 se produjo una bajada de tensión en una barra de instrumentación sin que se produjera la transferencia automática de la alimentación de la barra ni a través de la batería ni de la barra 6J1, por lo que hubo que realizar una transferencia manual. El 15/11/10 se produjo el mismo hecho en una barra de instrumentación de seguridad. Según el fabricante, los fallos de las tarjetas fueron debidos al fallo de los condensadores electrolíticos de las mismas debido a un proceso de envejecimiento. En la central ya existía experiencia operativa anterior alertando de este problema, recogida y evaluada en el correspondiente análisis de determinación de causa de la Regla de Mantenimiento. Por parte del titular, no se propuso ningún tipo de acción correctora adicional al establecimiento de un plan de vigilancia de los componentes afectados. Se concluye que el titular no ha tenido en cuenta adecuadamente la experiencia operativa propia para evitar los fallos ocurridos en noviembre de 2010 en las barras de instrumentación. De acuerdo a la información existente había suficientes indicios del problema de envejecimiento de los condensadores electrolíticos de las tarjetas, por lo que, por extensión de causa y aplicación de experiencia operativa, el titular debería haber planteado un programa de recualificación o sustitución de las tarjetas electrónicas que incluyera a las tarjetas que ocasionaron los fallos. Esto supone un incumplimiento de lo requerido por la regla de mantenimiento de disponer de un sistema de vigilancia eficaz del comportamiento de los equipos.

El hallazgo afecta al pilar de seguridad de sistemas de mitigación, en lo que se refiere al comportamiento y fiabilidad de los equipos y hay que considerar que la aplicación incorrecta de la regla de mantenimiento ha sido una de las causas que han contribuido al comportamiento degradado de los componentes. Para valorar la importancia del hallazgo hay que tener en cuenta que los fallos de las tarjetas de baipás tuvieron como consecuencia la pérdida de tensión en una barra de instrumentación de las cuatro disponibles, durante un periodo de tiempo inferior a una hora (hasta el momento en que se realizó manualmente la transferencia a las barras 6J1 o 7J1). Se trata de un caso de degradaciones concurrentes múltiples con una causa común (el retraso en la adopción de medidas para paliar un problema conocido) por lo que se requiere realizar un análisis probabilista de seguridad específico para esta situación. Una vez realizado y de acuerdo con los resultados obtenidos se concluye que el incumplimiento tiene muy baja significación para el riesgo y se categoriza como verde.

CSN

15-03-2011

30-06-2011

Sistemas de mitigacion

Incumplimiento de guías de diseño durante la realización de una modificación

El día 03/06/11, durante la realización de una prueba para comprobar la operabilidad de la bomba de rociado de la contención (tren A) se observó que al arrancar la misma se producían en el transmisor de caudal unos picos de señal, de manera que hacía actuar al cierre una válvula del sistema de evacuación del calor residual. Esta fluctuación de la señal también se observó en otro transmisor al arrancar la bomba del tren B del sistema de agua de componentes. El titular comprobó que, en el momento en que existe una circulación neta de caudal debido al arranque de las bombas del sistema de evacuación del calor residual, la señal se estabiliza al valor correcto según diseño. En la evaluación de operabilidad de la condición anómala se indica que los picos observados pueden ser con alta probabilidad ruido electrónico inducido a lo largo del trazado del cable de los transmisores de caudal. Esto es posible ya que el titular ha identificado un error en la ejecución de una modificación de diseño, consistente en el tendido del cable de señal de los transmisores por bandejas de control en lugar de hacerlo por bandejas de instrumentación. El cambio del tipo de bandejas instaladas incumple lo establecido en la guía de diseño aplicable para esa modificación. El hecho de instalar, durante una modificación de diseño, elementos relacionados con la seguridad fuera de los requisitos contemplados en las guías de diseño aplicables, supone un incumplimiento por parte del titular.

El hallazgo afecta al objetivo del pilar de seguridad de sistemas de mitigación. En este caso, el error en el cableado inducía ruido electrónico en la medida de dos indicadores de caudal de un sistema de seguridad. Para valorar la importancia para la seguridad del hallazgo hay que tener en cuenta que el mismo no ha supuesto la pérdida de una función de seguridad, ni la pérdida real de la función de seguridad de un sistema completo o la de un tren único durante un tiempo mayor que el permitido por las especificaciones de funcionamiento. Por ello, el hallazgo tiene muy baja importancia para la seguridad y se categoriza como verde.

Autorrevelado

20-09-2011

30-06-2011

Sistemas de mitigacion

Evaluación incorrecta de la operabilidad de la unidad de ventilación del edificio de combustible

El día 09/04/11 el turno de operación paró la unidad de ventilación del edificio de combustible al escuchar ruidos anómalos tras una intervención de mantenimiento relativa a un cambio de correas. No se declaró inoperable esta unidad hasta el día 11, cuando se colocó un descargo para una intervención de mantenimiento. Tras esta intervención se tuvieron que sustituir los rodamientos del ventilador, ya que se había producido un gripaje del mismo en el lado de la polea. El titular no realizó adecuadamente una evaluación de operabilidad del problema de los ruidos anómalos en la unidad de ventilación del edificio de combustible en la que se obtuvieran expectativas razonables de la operabilidad del equipo. Tal y como se demostró después, la unidad de ventilación estaba realmente inoperable por un gripaje del ventilador. Por ello, el titular ha incumplido lo establecido en el procedimiento de tratamiento de condiciones anómalas.

El incumplimiento ha provocado la inoperabilidad inadvertida durante un tiempo de un sistema de seguridad y afecta al objetivo del pilar de seguridad de sistemas de mitigación. Para valorar la importancia para la seguridad del hallazgo hay que tener en cuenta que el mismo no ha supuesto la pérdida de una función de seguridad, ni la pérdida real de la función de seguridad de un sistema completo o la de un tren único durante un tiempo mayor que el permitido por las especificaciones de funcionamiento. Por ello, el hallazgo tiene muy baja importancia para la seguridad y se categoriza como verde.

CSN

20-09-2011

31-03-2011

Integridad de barreras

Realización de un descargo de forma inadecuada que afecta a la integridad del recinto de contención

El día 02/02/11, al ir a colocar un descargo en una penetración del recinto de contención del sistema de refrigeración y purificación de la piscina de combustible, el turno de operación se dio cuenta de que se había colocado un descargo en otra penetración del mismo sistema, por el que se requería que dos válvulas manuales de aislamiento (referenciadas como EC-69 y EC-81) estuvieran abiertas. Esta situación de las válvulas abiertas incumplía el criterio de integridad de la contención para las funciones clave de seguridad en parada. Tras una investigación más en detalle, se identificó que el descargo se había colocado a las 11.20h del día 30/01/11 cuando la central se encontraba todavía en Modo 3. En ese modo las especificaciones de funcionamiento exigen que haya integridad de la contención. La colocación del descargo en una penetración, en un modo de operación en el que dicha penetración se requiere por las especificaciones de funcionamiento que esté aislada, constituye un incumplimiento de una Condición Límite de Operación (CLO 3.6.1.1), si bien no se incumplió la especificación técnica asociada. Cuando la central llegó a la parada para recarga (Modo 5 de operación), ya no se requería el aislamiento de la contención, pero el alineamiento de forma inadvertida de una penetración en posición abierta supone un incumplimiento del procedimiento de funciones clave de seguridad en parada, ya que puede suponer la pérdida inadvertida de la función clave de integridad de la contención.

El hallazgo afecta al objetivo del pilar de seguridad de integridad de las barreras en su atributo de control de la configuración. El incumplimiento se produjo desde que se colocó el descargo indebido (en Modo 3), hasta que se retiró el mismo. La penetración que quedó abierta corresponde a una tubería de 10 centímetros de diámetro. Con ese tamaño de vía abierta de la contención, no se puede descartar que la fuga de material radiactivo a la atmósfera no vaya a ser significativa desde el punto de vista de impacto radiológico en el exterior. Se ha realizado un análisis probabilista detallado para conocer la frecuencia de grandes liberaciones tempranas en el caso de un accidente severo, no dando crédito a que las válvulas que no son de seguridad (no clase) y que se encuentran cerradas aguas abajo de la penetración pudieran servir de aislamiento entre la atmosfera de la contención y el exterior. Considerando las alegaciones del titular y la información proporcionada sobre la capacidad de estas válvulas consideradas como de no seguridad en relación con las que sí están catalogadas como de seguridad, se ha aceptado que se puede dar crédito a la capacidad de resistencia de dichas válvulas a las condiciones de presión y temperatura del recinto en caso de accidente y por lo tanto a que puedan cumplir su función de aislamiento. Por ello, la importancia para la seguridad del hallazgo, en caso de ocurrencia de un accidente severo, es muy baja y se categoriza como verde.

Autorrevelado