Ordinanza del DATEC sulla metodica e le condizioni marginali per la verifica dei criteri per la messa fuori servizio temporanea di centrali nucleari

Ufficio federale dell’energia

Ordinanza del DATEC sulla metodica e le condizioni marginali per la verifica dei cri- teri per la messa fuori servizio temporanea di centrali nucleari

Rapporto esplicativo

giugno 2007

003785672

I. Introduzione

1. Situazione iniziale

La Legge federale sull’energia nucleare del 21 marzo 2003 (LENu, SR 732.1) e l’Ordinanza sull’energia nucleare del 10 dicembre 2004 (OENu, SR 732.11), entrate in vigore il 1° febbraio 2005, non prevedono nessun limite di esercizio per centrali nucleari esistenti. Le stesse possono quindi re- stare in funzione fintantoché sono sicure. Non si tratta però solo di mantenere lo standard di sicurezza vigente al momento del rilascio della licenza. Il titolare della licenza d’esercizio deve invece continua- mente riequipaggiare il suo impianto nella misura richiesta dall’esperienza e dallo stato della scienza e della tecnica nonché prendere provvedimenti ulteriori sempreché contribuiscano ad un’ulteriore ridu- zione del pericolo e siano adeguati (vedi art. 22 cpv. 2 lett. g LENu). In questo modo il livello di sicu- rezza può essere conservato e migliorato.

A causa della rinuncia a porre una scadenza alle autorizzazioni d’esercizio delle centrali nucleari (al momento solo l’autorizzazione d’esercizio della centrale nucleare di Mühleberg ha una scadenza) sono necessari dei criteri per decidere quando una centrale nucleare deve essere posta fuori servizio. Il Consiglio federale ha fissato i criteri (criteri MFS) per i quali, in caso siano adempiuti, il titolare della licenza deve momentaneamente mettere fuori servizio la sua centrale nucleare e riequipaggiarla se- condo l’articolo 44 capoverso 1 OENu (raffreddamento del nocciolo in caso d’incidenti, o integrità del circuito primario o del contenitore non più garantiti). La metodica e le condizioni marginali per verifica- re questi criteri deve invece disciplinarli il Dipartimento. Il procedimento per eseguire i riequipaggia- menti o le esigenze che deve soddisfare un riequipaggiamento non sono invece materia di questa ordinanza. I riequipaggiamenti come pure le modifiche dell’impianto vengono autorizzati o approvati secondo procedimenti esistenti.

2. Tratti fondamentali dell’ordinanza

I criteri MFS non devono coprire tutti i casi per i quali una centrale nucleare deve essere spenta. Più importanti dei criteri MFS sono le condizioni d’esercizio autorizzate nelle specifiche tecniche. Se que- ste sono violate, l’impianto deve essere spento e in ogni caso ripristinato. I casi che possono essere risolti con una riparazione, per i quali cioè non è necessario un miglioramento tramite riequipaggia- mento, non sono inclusi nei criteri MFS.

Il tratto comune dei tre criteri è che concernono strutture, sistemi e componenti che non possono, o per lo meno non possono facilmente essere riparati o cambiati. Di regola le cause per la messa fuori servizio possono venire eliminate solo con importanti misure di riequipaggiamento. Nella determina- zione dei criteri era soprattutto importante che gli stessi fossero sia rilevanti dal profilo della sicurezza che facilmente verificabili.

Analizzando le proposte di modifica in modo più approfondito, emergono due motivi che spiegano perché l’integrità o la funzione di una struttura, di un sistema o di un componente non è assicurata così che il rispettivo criterio MFS viene raggiunto:

- Errore di riferimento: l’autorizzazione d’esercizio per centrali nucleari viene rilasciata in fun- zione delle basi di riferimento. Può essere che, secondo l’attuale stato della scienza, il riferi- mento originale sia lacunoso, e la centrale nucleare non si comporti come previsto. Gli errori di riferimento vengono in generale scoperti solo a seguito di eventi, perizie o anche cono- scenze scientifiche nuove. Nella verifica dei criteri MFS rivestirà quindi un ruolo centrale l’elaborazione dell’evento. Al contempo deve essere dimostrato che le dosi limite secondo l’articolo 94 dell’Ordinanza sulla radioprotezione (ORaP, RS 814.501) sono rispettate.

- Danni dovuti all’invecchiamento: al contrario degli errori di riferimento, i danni dovuti all’invecchiamento non esistono dall’inizio, ma si presentano nel corso del tempo. Una com- ponente può essere stata montata correttamente ma a causa dei processi di usura e di in- vecchiamento non soddisfa più il riferimento originale o lo stato attuale della tecnica. I princi- pali meccanismi di invecchiamento sono processi di infragilimento provocati da raggi, affati- camento, erosione, corrosione come pure tensocorrosione. A differenza degli errori di riferi- mento è possibile prevedere i danni dovuti all’invecchiamento. Il loro decorso può essere se- guito con appositi programmi di sorveglianza.

Sia gli errori di riferimento che i danni dovuti all’invecchiamento possono presentarsi in generale in tutti i tre criteri MFS. È però da attendersi che nel caso del criterio "raffreddamento del nocciolo in caso di incidenti" sarà soprattutto un errore di riferimento la causa di una messa fuori servizio, mentre per i criteri "integrità del circuito primario" e "integrità del contenitore" prevarranno i danni dovuti all’invecchiamento.

La struttura dell’Ordinanza segue queste due categorie. Dopo le condizioni generali del Capitolo 1, nel Capitolo 2 vengono regolate la metodica e le condizioni marginali per la messa fuori servizio a causa di errori di riferimento e nel Capitolo 3 quelle a seguito di danni dovuti all’invecchiamento.

II. Spiegazioni delle singole disposizioni

Capitolo 1: Oggetto

Art. 1 Oggetto

Nella presente ordinanza vengono disciplinate la metodica e le condizioni marginali per la valutazione dei criteri di messa fuori servizio. I tre criteri MFS secondo l’articolo 44 capoverso 1 OENu si applicano alle centrali nucleari, ma non ad impianti nucleari con esiguo potenziale di pericolo (vedi art. 22 OE- Nu), depositi, impianti di preparazione, lavorazione o impianti medici. Questi impianti non hanno né un circuito primario, né un contenitore. Gli impianti nucleari esistenti con esiguo potenziale di pericolo non dispongono nemmeno di un proprio dispositivo di raffreddamento del nocciolo. Il raffreddamento del nocciolo viene assicurato tramite convezione. Inoltre, per impianti nucleari con esiguo potenziale di pericolo, in caso d’incidente le dosi limite secondo l’articolo 94 possono essere rispettate. Per ciò que- sta ordinanza concerne esclusivamente le centrali nucleari.

Capitolo 2: Messa fuori servizio a causa di errori di riferimento

Gli errori di riferimento possono restare sconosciuti ed essere scoperti solo a seguito di eventi, perizie o anche nuove conoscenze o valutazioni scientifiche. Nel caso della valutazione dei criteri di messa fuori servizio, l’analisi dell’evento assume quindi un ruolo fondamentale. È compito del titolare della licenza verificare, nel caso di eventi, se il riferimento attuale dell’impianto è ancora corretto.

Art. 2 Verifica del riferimento

Il capoverso 1 rafforza la responsabilità del titolare della licenza. Egli è obbligato ad attivarsi non ap- pena suppone che nel suo impianto, a seguito di un errore di riferimento, un criterio MFS potrebbe essere offeso. Inoltre deve seguire in particolare lo stato della scienza e della tecnica come pure le esperienze d’esercizio di impianti paragonabili e valutarne l’importanza per il suo impianto (vedi art. 36 OENu).

Il capoverso 1 stabilisce inoltre in quali casi il titolare della licenza deve prevedere una verifica urgente del riferimento. La verifica deve avvenire quando nel proprio impianto si verificano eventi o riscontri che nella scala di valutazione degli incidenti INES dell’Agenzia internazionale per l’energia atomica (AIEA) sono classificati al livello 1 o più in alto (vedi allegato 6 OENu).

Inoltre deve effettuare una verifica se in una centrale paragonabile in Svizzera o all’estero si verificano eventi o riscontri che nella scala di valutazione degli incidenti INES sono classificati al livello 2 o più in alto. Eventi del livello INES 2 vengono definiti come "avaria" e divulgati mondialmente attraverso l’Incident Reporting System della AIEA. Solo gli eventi a partire dal livello 2 sottostanno all’obbligo di notificazione. Inoltre anche l’autorità di vigilanza può ordinare in ogni momento una verifica del riferi- mento.

Capoverso 2: Non è opportuno fissare a livello di ordinanza un termine per la valutazione e la reda- zione di un rapporto sui risultati. Lo stesso deve però essere redatto prontamente, non appena le in- formazioni di base sono a disposizione. L’autorità di vigilanza può in singoli casi indicare la portata, il carattere e i termini per la valutazione.

Art. 3 Messa fuori servizio

La messa fuori servizio deve avvenire quando a causa di un errore di riferimento le dosi limite per la popolazione (vedi art. 94 cpv. 3-5 ORaP) o per il personale (vedi art. 96 cpv. 5 ORaP) non possono più essere rispettate.

Le ipotesi specifiche di pericolo, i criteri di valutazione e le disposizioni di calcolo sono fissate in un’ordinanza separata (vedi progetto di ordinanza sulle ipotesi specifiche di pericolo e la valutazione della protezione contro gli incidenti negli impianti nucleari) e nelle rispettive direttive della Divisione principale della sicurezza degli impianti nucleari (DSN).

Capitolo 3: Messa fuori servizio a causa di danni dovuti all’invecchiamento

Nella costruzione di un impianto vengono impiegati componenti che devono rispettare i requisiti di riferimento. Un componente che originariamente è conforme ai requisiti di riferimento può a causa dell’invecchiamento modificarsi nelle qualità del materiale o nella sua geometria in modo tale da non potere più rispettare le proprie norme di riferimento.

Di regola i componenti rovinati possono essere riparati o cambiati. Un danno dovuto all’invecchiamento di un componente simile non rappresenta un motivo per una messa fuori servizio. Questo vale in particolare per i componenti del sistema di sicurezza necessari per il raffreddamento del nocciolo.

Non si può invece, o si può solo difficilmente, cambiare o riequipaggiare il circuito primario e il conteni- tore. Il loro stato è il fattore limitante per la durata di vita di una centrale nucleare. Per questo i danni dovuti all’invecchiamento rappresentano in questo settore un criterio MFS.

Il mantello del nocciolo di un reattore ad acqua bollente rappresenta un caso limite. Può presentare danni dovuti all’invecchiamento da tensocorrosione e può essere sostituito solo difficilmente (vedi centrale nucleare di Mühleberg). D’altra parte in diversi impianti interessati sono state prese misure di stabilizzazione (ad es. dispositivo a smorza). Quando, grazie ad una dimostrazione di sicurezza, può essere mostrato che ipotizzando gravi presupposti di incidente e assumendo una completa lacerazio- ne di tutte le linee di saldatura orizzontali, gli obiettivi di protezione "possibilità di disinserimento del reattore" e "possibilità di raffreddamento del nocciolo del reattore" sono garantiti, non esiste nessun motivo per una messa fuori servizio.

Sezione 1: Integrità del circuito primario

Il circuito primario comprende il serbatoio in pressione del reattore e gli equipaggiamenti meccanici collegati sotto pressione. Dal profilo della sicurezza tecnica sono di massima importanza. Se si rompe il circuito primario fuoriesce vapore e il liquido di raffreddamento va perso. Senza un sistema di sicu- rezza funzionante dopo breve tempo il reattore non viene più raffreddato.

Il circuito primario comprende tutte gli equipaggiamenti meccanici sotto pressione della classe di sicu- rezza 1 (vedi classificazione della tecnica di sicurezza secondo la cifra 3 allegato 4 OENu). Sono e- scluse le condotte con un diametro interno minore o uguale a 25 mm. Questi tubi vengono impiegati in particolare per le condotte di misurazione. A causa del loro esiguo diametro sono, dal profilo della tecnica di sicurezza, di minore importanza e in caso di danneggiamento possono essere sostituiti con relativa facilità.

Art. 4 Infragilimento del contenitore in pressione del reattore

A causa dell’irraggiamento con neutroni il materiale di base e quello saldato del contenitore in pres- sione del reattore perde plasticità nella zona centrale del reattore. Per questo motivo si può presenta- re, da una parte, un aumento della rigidità e, dall’altra, una diminuzione della plasticità e un conse- guente infragilimento.

Una minore plasticità può significare che a causa di un improvviso carico straordinario si potrebbero presentare veloci crepe nel materiale del contenitore in pressione del reattore dovute alla fragilità. Ciò sarebbe ad esempio possibile quando in caso di un raffreddamento di emergenza grosse quantità di acqua fredda debbano essere immesse repentinamente nel contenitore in pressione del reattore caldo e sotto pressione (Pressurized Thermal Shock, PTS). Il materiale del contenitore in pressione del reat- tore non può quindi presentare una plasticità minore ad un determinato valore.

Quale criterio limite per l’estrapolazione temporale dell’infragilimento neutronico viene utilizzato preva- lentemente a livello internazionale il criterio di sicurezza delle autorità americane NRC (s. Reg. Guide 1.99 Rev. 2). Inoltre i materiali del contenitore in pressione del reattore per il riferimento vanno scelti in modo da garantire che la temperatura di riferimento per la rottura fragile non superi il valore di 93°C. Per quanto riguarda il comportamento plastico si esige che l’energia di impatto in campo duttile calco- lata con le prove di resilienza sia maggiore di 68 Joule. Una prova in merito può essere presentata anche con metodi di resistenza meccanica.

Il mantenimento di questi valori minimi per la plasticità è richiesta per l’integrità del serbatoio in pres- sione del reattore anche durante l’intero esercizio.

Art. 5 Fessure nel circuito primario

Data la loro importanza, i componenti sotto pressione classificati di sicurezza tecnica, sottostanno a misure di sorveglianza dettagliate e precise, prescritte con le specifiche tecniche e le direttive della

DSN. In questo modo eventuali danni ( ad es. inizio di formazione di crepe da affaticamento o tenso- corrosione) possono essere riconosciuti e riparati prima che la crepa danneggi la parete.

Se, malgrado queste misure, in una parete si presenta una crepa penetrante nel circuito primario, esiste un errore di costruzione o un meccanismo di danneggiamento sconosciuto che giustifica la messa fuori servizio.

Art. 6 Spessore delle pareti del circuito primario

Lo spessore delle pareti delle componenti del circuito primario viene controllato nel quadro dei collaudi periodici. L’ambito, l’ampiezza e l’intervallo dei collaudi sono regolati nelle disposizioni di collaudo e nei programmi di sorveglianza dell’invecchiamento. Anche qui vale il principio che eventuali danni, se riconosciuti in tempo, possono essere riparati.

Per il calcolo dello spessore minimo della parete bisogna inserire per la pressione interna e la tempe- ratura della parete del tubo i valori più alti possibili tenendo conto di tutti gli stati possibili. Il criterio MFS è raggiunto quando il valore è minore dello spessore minimo della parete calcolato1.

Quando il valore è più basso dello spessore minimo della parete ammessa, esiste un errore di costru- zione o un meccanismo di danneggiamento sconosciuto che giustifica la messa fuori servizio.

Sezione 2: Integrità del contenitore

Il contenitore serve a fermare le sostanze radioattive liberatesi dal reattore in caso di incidente e alla protezione da influenze esterne. Le centrali nucleari svizzere dispongono di un contenitore primario (involucro a pressione in acciaio) e di un contenitore secondario (involucro di calcestruzzo).

Il contenitore primario è dimensionato in modo da garantire che in caso di incidenti di riferimento l’integrità e l’ermeticità restano garantite e le sostanze radioattive rimangono confinate.

Il contenitore secondario abbraccia il sistema di contenitore primario con le sue penetrazioni ed è pen- sato in particolare per la protezione contro influenze esterne.

Art. 7 Spessore delle pareti dell’involucro a pressione in acciaio

Il contenitore primario di un impianto viene sottoposto periodicamente a test integrali sulle perdite. Questi test sono previsti dalle tecniche specifiche. Fintantoché i valori misurati relativi alle perdite sono inferiori ai valori limite stabiliti, si può ammettere che il contenitore svolga anche in futuro la sua fun- zione di barriera.

Die Mindestwandstärke richtet sich nach den Normen der American Society of Mechanical Engi- neers, Boiler and Pressure Vessel Code, ASME III, NB-3640 (ohne Zuschläge und mit einem Sicher- heitsbeiwert von 1,0)

I test sulle perdite non comprendono però diminuzioni dello spessore delle pareti dovuto a corrosione sulla superficie, in particolare nella zona di attacco, dove l’involucro a pressione in acciaio è attaccato alla struttura di calcestruzzo. Di conseguenza assume particolare importanza lo spessore delle pareti del contenitore primario. Nel caso in cui si dovesse manifestare un valore più basso dello spessore minimo delle pareti consentito, la centrale nucleare è da mettere fuori servizio.

Per il calcolo dello spessore minimo della parete vanno inseriti i valori più alti sia per la pressione in- terna che per la temperatura interna, tenendo conto di tutte le possibili situazioni di esercizio. Il criterio MFS è raggiunto quando il valore è più basso dello spessore della parete minimo calcolato2.

Art. 8 Crepe e scrostamenti nell’involucro di calcestruzzo

Le strutture di calcestruzzo possono invecchiare o venire danneggiate in diversi modi. Un esempio è dato dalla carbonatazione. Quando la carbonatazione penetra fino alle immediate vicinanze dei ferri di armatura, gli stessi, nel caso si presenti dell’umidità, possono arrugginire e ingrossarsi provocando così crepe o scrostamenti. Le strutture possono venire indebolite oltre che da crepe e scrostamenti anche dal fatto che l’aderenza tra i ferri di armatura e il calcestruzzo diminuisce, così il calcestruzzo non è più sufficientemente resistente verso i momenti di curvatura, le forze di trazione e le forze di taglio. Le medesime conseguenze negative si hanno anche in caso di ruggine avanzata a seguito della riduzione della sezione dei ferri di armatura. Accanto a questi danni le crepe si possono formare anche dopo forti deformazioni, come cedimenti o forti terremoti e incendi.

Siccome il calcestruzzo già in fase di costruzione presenta tante piccole, ma irrilevanti, crepe a segui- to del calore di idratazione, della contrazione o delle tensioni a seguito delle deformazioni, si prendono in considerazione solo le crepe con una larghezza maggiore di 0,5 mm. Per controllare l’involucro di calcestruzzo viene richiesto di rilevare le crepe sulla superficie con una larghezza maggiore di 0,5 mm. Quando più del 20 % della superficie di calcestruzzo, o nell’ambito di componenti di calcestruzzo rinforzati più del 10 % della superficie di calcestruzzo, è danneggiata da crepe o scrostamenti, l’integrità dell’involucro di calcestruzzo non è più garantita.

La resistenza minima della parete si orienta secondo le norme dell’American Society of Mechanical Engineers, Boiler and Pressure Vessel Code, ASME III, NE-3300