31-03-2008

Sucesos iniciadores

Procedimiento inadecuado para realizar una prueba funcional del sistema de protección contraincendios de algunos equipos no clasificados como de seguridad.

El procedimiento denominado “Prueba funcional de los sistemas pulverizadores y rociadores” se considera insuficiente para garantizar la operabilidad de los sistemas rociadores de agua en algunos transformadores no clasificados como de seguridad y, por tanto, no incluidos en las Especificaciones Técnicas de Funcionamiento. El procedimiento presenta, entre otras deficiencias, las siguientes: está poco sistematizado; contiene muy pocas instrucciones porque se apoya excesivamente en la experiencia de los ejecutores; los criterios de aceptación no están a veces claramente especificados, como es el caso de la obstrucción de boquillas de rociado y los esquemas de alineamientos introducidos como anexos en el procedimiento resultan ilegibles. El incumplimiento consiste en que el procedimiento se considera insuficiente para garantizar la funcionalidad del sistema de protección contra incendios (PCI), lo que va en contra de los criterios del Manual de Garantía de Calidad de la central.

A pesar de que el procedimiento se aplica sobre equipos no clasificados como de seguridad, es importante considerar que dichas comprobaciones se realizan sobre los sistemas de protección contra incendios de los transformadores de las alimentaciones eléctricas exteriores (220 y 400 kV), así como los de consumo propio (10 kV). Un problema en cualquiera de dichos transformadores representa una disminución de la fiabilidad del sistema de energía eléctrica auxiliar, aunque las redes de energía eléctrica exteriores que permanecen operables y los generadores diesel disponen de capacidad y redundancia eléctrica suficientes para asegurar el suministro de energía eléctrica a los sistemas de seguridad. El hallazgo afecta al objetivo de pilar de seguridad de sucesos iniciadores en su atributo de protección contra factores externos (en este caso, un fuego). Se considera que el nivel de degradación del sistema de protección contra incendios es bajo, por lo que el hallazgo tiene muy baja significación para la seguridad y se categoriza como verde.

CSN

20-06-2008

31-03-2008

Sucesos iniciadores

Elección inadecuada de una maniobra de entre las ofrecidas en el Manual de Operación, que provoca una parada automática de la turbina.

El día 24 de marzo de 2008 estaba prevista la maniobra de aislamiento de una parte del condensador (semicuerpo 6) para la limpieza de las cajas de agua. La maniobra se estaba realizando siguiendo el Manual de Operación, que en su apartado 6.7 proporciona instrucciones para el aislamiento de un semicuerpo del condensador. Se había realizado una pequeña bajada de potencia para compensar el cierre del semicuerpo que se iba aislar (de entre un 10 y un 15% posible -según el procedimiento- se decidió bajar la potencia un 10%). La central estaba funcionando con dos bombas de agua de circulación en marcha y se decidió que no era preciso arrancar una tercera. En el momento del cierre de la válvula de salida de la caja de agua se observó un valor anormalmente alto de la presión de vacío. Se decidió interrumpir la maniobra de cierre y se produjo la parada automática de la turbina. El Manual de Operación existente (que está más orientado al caso de rotura de tubos del condensador) y las decisiones tomadas en los momentos previos al incidente aumentaron la probabilidad de que se produjese la pérdida de vacío momentánea del condensador y la parada de la turbina. El incumplimiento consiste en que el Manual de Operación no contempla específicamente todas las situaciones posibles a considerar y el personal tomó decisiones no adecuadas a las condiciones de la planta.

Una parada automática de la turbina puede ser un precursor de un suceso más significativo para la seguridad, por lo que el incumplimiento afecta al pilar de seguridad de sucesos iniciadores. Debido al incumplimiento se produjo un aumento de la frecuencia o probabilidad de ocurrencia de un suceso que desafía la estabilidad de la central. El hallazgo tiene muy baja significación para la seguridad, por lo que se categoriza como verde.

CSN

20-06-2008

30-06-2007

Sucesos iniciadores

Disparo de turbina y posterior disparo del reactor al producirse muy bajo nivel en el tanque de aceite de turbina, por actuación inadecuada del personal de operación.

Como consecuencia de una actuación inadecuada del personal de la central, se produjo un drenaje del depósito de aceite de lubricación de la turbina, generándose una señal de la instrumentación asociada que produjo el disparo de la misma y la consiguiente disminución del vacío en el condensador para facilitar el frenado de la turbina. A continuación, una segunda actuación errónea provoca la pérdida del sistema de baipás de la turbina y, por tanto, se produce de forma automática la actuación del sistema de protección del reactor, provocando el disparo del reactor. El incumplimiento ha consistido en la realización de trabajos sin el correspondiente descargo por el personal de operación, lo que ha impedido tomar las precauciones que el acto administrativo del descargo lleva consigo y la manipulación de válvulas sin los permisos necesarios.

Como consecuencia del fallo se ha producido un disparo del reactor, que es en si mismo un suceso iniciador de posibles secuencias de accidentes, por lo que el hallazgo afecta al objetivo del pilar de seguridad de sucesos iniciadores. Considerando los criterios para la categorización de la importancia de los hallazgos, el aumento en la frecuencia de sucesos iniciadores que pueden provocar un accidente como consecuencia del disparo del reactor es muy pequeño, por lo que el hallazgo se categoriza como de muy baja significación para la seguridad y se clasifica como VERDE.

Autorrevelado

20-12-2007

31-03-2008

Sistemas de mitigacion

Incapacidad de una barra de control para insertarse en el núcleo probablemente debido a su degradación por errores de fabricación.

El día 27 de marzo de 2008, se observó que la barra de control de referencia S91 no podía ser insertada completamente en su posición en el núcleo del reactor. En cumplimiento de las especificaciones de funcionamiento el titular inició la secuencia de parada de la central. La barra de control había sido declarada inoperable el 25 de marzo, al comprobarse que no era posible su extracción completa del núcleo, aunque en ese momento sí se insertaba correctamente. Una vez abierta la tapa de la vasija del reactor y extraída la barra de control, se observó que faltaba una varilla y la tuerca de sujeción de ésta al conjunto de varillas que forma la barra de control. Se realizaron análisis metalográficos de la zona de la rotura de la varilla y se determinó por el titular que se debía a un fenómeno degradatorio inducido por contaminación por cloruros, y que la rotura se había producido unos 3 meses antes del incidente de su atascamiento en el núcleo del reactor. Los mismos estudios concluían que dicha contaminación debía de haberse producido durante el proceso de fabricación de la barra de control. El titular incumple sus procedimientos de supervisión de contratistas al no realizar ningún tipo de verificación en el suministro de barras de control realizado por el fabricante, en el que se incluía esta barra defectuosa, lo que implica un incumplimiento del Manual de Garantía de Calidad de Trillo.

Se considera que el suceso constituye una degradación de la función de control de la reactividad, aunque dentro de los márgenes de diseño de la central. Hay que tener en cuenta que únicamente se había perdido la capacidad de inserción de una barra de control en el núcleo del reactor, lo que ya está considerado y cubierto por el análisis de accidentes de la central. Por dicha razón, se considera que no se produciría una degradación en la barrera que supone la vaina de combustible para los productos de fisión y, por lo tanto, únicamente estaría afectado el pilar de seguridad de sistemas de mitigación. El hallazgo tiene muy baja significación para la seguridad y se categoriza como verde.

Autorrevelado

20-06-2008

31-12-2007

Sistemas de mitigacion

Utilización de juntas de sellado defectuosas en las válvulas que controlan la temperatura del agua de refrigeración de los motores de los generadores diesel.

El día 20/9/07, se declaró inoperable el generador diesel denominado GY20 debido al fallo de la válvula termostática que regula la temperatura del agua de refrigeración del mismo. El análisis de las causas de este incidente realizado por el titular permitió descubrir la existencia de carencias en el mantenimiento de las citadas válvulas termostáticas de los motores diesel. El titular realizó informes de experiencia operativa y de mantenimiento de las mismas, además de una revisión de todos los motores para comprobar su estado. De dicha revisión se pude concluir que los generadores más susceptibles de fallo fueron dos: el GY20, que disparó el 20 de septiembre, con las juntas completamente rígidas y el GY40, en el cual se encontraron las juntas de las válvulas termostáticas en un estado de rigidez parcial. En el caso de haberse producido el arranque de un diesel de emergencia por una señal de actuación, con la válvula reguladora en esas condiciones, se desconoce cuanto tiempo hubiera podido funcionar el diesel hasta disparar por una temperatura excesiva en el motor. El titular ha fallado en no seguir las recomendaciones del fabricante sobre durabilidad en condiciones de almacén y en servicio de los termoelementos y las juntas de los mismos, puesto que los empleó pese a haberse sobrepasado su vida útil.

El peor fallo a considerar sería que se atascase la válvula termostática por el deterioro de la junta de la misma; esto provocaría un aumento brusco de la temperatura de refrigeración del motor, como ocurrió el día 20/9/07. A la vista del estado de los elementos deteriorados se hubiera podido provocar, como mucho, el fallo en operación de dos de los cuatro generadores. El fallo se produciría en el transcurso de la operación continuada de los mismos, y no en el mismo instante del arranque. El hallazgo afecta al objetivo del pilar de seguridad de sistemas de mitigación en su atributo de calidad de los procedimientos. Se utiliza para el análisis de la importancia para la seguridad del suceso la hipótesis de que pudieran fallar a la vez dos de los cuatro generadores cuando se necesitaran los diesel durante un largo espacio de tiempo. Aunque se consideren dos generadores diesel fallados, la función de seguridad requerida se puede realizar con total seguridad con los dos restantes, por lo que el hallazgo se considera de muy baja significación para la seguridad y se categoriza como verde.

Autorrevelado

20-03-2008

30-09-2007

Sistemas de mitigacion

Puertas consideradas como barrera contra inundaciones en el análisis de protección contra inundaciones de la central encontradas abiertas.

Durante una ronda por la central, los inspectores del CSN encontraron abiertas pero con capacidad de cerrar dos puertas que están consideradas como barrera contra inundaciones. Analizado el suceso se observa que, en la práctica, la comprobación que se realiza por el personal de la central para la verificación del estado de cierre de las puertas de protección contra inundaciones es asegurarse de que la puerta tiene posibilidad de cerrarse. Si el personal que efectúa la vigilancia encuentra una puerta abierta, la cierra y se da por aceptable como cumplimento del procedimiento de vigilancia. Únicamente si resultase imposible su cierre se consideraría como no aceptable, declarándose inoperable y se comunicaría al Jefe de Turno. En la práctica se incumple el procedimiento “Verificación del cierre de puertas y trampillas afectadas por el análisis de inundaciones”. En este procedimiento se especifica como criterio de aceptación para la adecuada vigilancia del estado de las puertas que la inspección deberá demostrar que las puertas y trampillas afectadas por el mismo están cerradas. Se considera que la interpretación dada por el personal que efectúa la vigilancia al criterio de aceptación de que las puertas están bien si pueden cerrarse, independientemente de cómo las encuentren durante la ronda de vigilancia, no se atiene a lo especificado.

El hallazgo afecta negativamente al pilar de seguridad de sistemas de mitigación en su atributo de protección contra factores externos, en este caso, frente a inundaciones. Considerando los criterios de categorización de hallazgos utilizados por el CSN y que las puertas afectadas realmente pueden realizar su función de seguridad de proteger las salas contra inundaciones en caso de ser requeridas, una vez detectado el estado de las mismas, se categoriza el hallazgo como de muy baja significación para la seguridad, es decir, de color VERDE.

CSN

20-12-2007

30-10-2007

Protección radiológica del público

Deficiencias en el inventario, registro y control de los residuos radiactivos de alta actividad almacenados en la piscina de combustible gastado de la central.

La inspección del CSN constató que el titular de la central nuclear de Trillo no disponía de un inventario correcto (número exacto) de las espigas de alineamiento de elementos combustibles ("pins"), desprendidas de la placa superior de soporte del núcleo, perteneciente a los internos superiores de la vasija del reactor, y que se encuentran, según manifestaron los representantes del titular, almacenadas en la piscina de combustible gastado. Otros residuos almacenados en la piscina de combustible (como por ejemplo, elementos de la instrumentación interna del reactor que están colgados en cables de acero) carecían de etiquetas que los identificaran individualmente y que describieran sus características físicas o radiológicas. No existe registro alguno de otro residuo radiactivo que estaba colgado de un cable de acero sin etiqueta identificativa alguna e igualmente almacenado de forma temporal en la piscina de combustible. Se considera que la gestión de los residuos radiactivos de alto nivel de actividad es una actividad relacionada con la seguridad de la central y, sin embargo, no existe para ella un procedimiento específico sobre control y mantenimiento del sistema documental y la base de datos informática asociada. Esto origina un inventario inexacto e incompleto de los residuos radiactivos de alto nivel almacenados en la piscina de combustible gastado.

El incumplimiento afecta al pilar de protección radiológica del público, ya que supone un fallo en la capacidad del titular para prevenir la pérdida de control, física o documental, asociada al combustible gastado y los residuos de alta actividad en zonas de almacenamiento temporal (piscina o almacén de contenedores en seco). En particular, se incumple la capacidad del titular para detectar fallos en el proceso de registro y en la trazabilidad de los datos necesarios para la toma de decisiones sobre la gestión posterior de los residuos radiactivos de alta actividad. Se considera que el hallazgo tiene un impacto reducido desde el punto de vista de la seguridad y la protección radiológica, por lo que se categoriza como verde.

CSN