Nükleer Tesislerde Güvenlik Tasarımının Temelleri

Bir nükleer tesisin güvenliği, işletmeye başladıktan sonra alınabilecek birkaç önlemle sağlanan bir özellik değildir. Güvenlik, daha tesisin tasarımının ilk aşamalarından itibaren başlayan ve tasarım, güvenlik değerlendirmesi, imalat, inşaat, devreye alma, işletme, bakım, modernizasyon ve nihayetinde işletmeden çıkarma aşamalarının tamamına yayılan bir süreçtir.

Bu nedenle nükleer güvenlik tasarımı yalnızca “hangi güvenlik sistemleri kullanılacak?” sorusuna cevap aramaz. Çok daha temel bir soruya cevap vermeye çalışır: “Tesis, normal işletmeden en ağır öngörülebilir olaylara kadar farklı koşullarda temel güvenlik fonksiyonlarını nasıl koruyacak?”

Modern nükleer güvenlik yaklaşımının temelinde; radyasyon maruziyetinin sınırlandırılması, kazaların önlenmesi, meydana gelebilecek olayların erken fark edilmesi, kazaların ilerlemesinin engellenmesi, radyoaktif maddelerin kontrol altında tutulması ve daha ağır sonuçlara karşı ek savunma katmanlarının oluşturulması bulunur.

1. Güvenlik tasarımı nedir?

Güvenlik tasarımı, nükleer tesisin güvenlik hedeflerine ulaşmasını sağlayacak fiziksel, teknik ve organizasyonel özelliklerin sistematik biçimde belirlenmesi ve doğrulanmasıdır.

Burada önemli olan nokta, tasarımın güvenlik değerlendirmesinden bağımsız düşünülememesidir. Bir tasarım özelliği yalnızca çizim üzerinde bulunması nedeniyle güvenlik önlemi haline gelmez. O özelliğin belirlenen güvenlik fonksiyonunu gerçekten yerine getirebildiğinin analizler, hesaplamalar, testler, denetimler ve doğrulamalarla ortaya konulması gerekir.

Kaynak seminerde de güvenlik tasarımı; güvenlik değerlendirmesi, tesisin inşaat yönetimi ve işletme yönetimi ile birbirine bağlı bir süreç olarak gösterilmektedir. :contentReference[oaicite:3]{index=3}

2. Normal işletmede radyasyonun kontrolü: ALARA

Nükleer güvenlik yalnızca kazaları önlemekten ibaret değildir. Tesis normal koşullarda çalışırken çalışanların ve halkın maruz kalabileceği radyasyon dozlarının da mümkün olduğu kadar düşük tutulması gerekir.

Bu yaklaşım radyasyondan korunmada ALARA (As Low As Reasonably Achievable) ilkesiyle ifade edilir. Buradaki temel fikir, radyasyon maruziyetini yalnızca bir sınır değerin altında tutmakla yetinmemek; ekonomik ve sosyal faktörler de dikkate alınarak makul ölçüde mümkün olan en düşük seviyeye indirmektir.

Kaynak seminerde de normal işletme sırasında hem çalışanların hem de çevredeki halkın radyasyon maruziyetinin mümkün olduğu kadar düşük tutulması temel güvenlik yaklaşımı olarak verilmiştir. :contentReference[oaicite:4]{index=4}

IAEA'nın güncel tasarım gereklilikleri de normal işletme ve planlı salımlar nedeniyle oluşabilecek dozların sınırların altında tutulmasını ve mümkün olduğunca düşük seviyeye indirilmesini; ayrıca kaza durumunda radyolojik sonuçları azaltacak önlemlerin tasarımda bulunmasını öngörmektedir. :contentReference[oaicite:5]{index=5}

3. Savunma derinliği: güvenliğin omurgası

Nükleer güvenlik tasarımının en önemli kavramlarından biri savunma derinliğidir (defence in depth).

Savunma derinliği, tek bir güvenlik sisteminin kusursuz çalışacağı varsayımına güvenmek yerine, birbirini tamamlayan ve mümkün olduğunca bağımsız çok sayıda koruma katmanı oluşturulması anlamına gelir.

IAEA'nın yaklaşımında savunma derinliği, nükleer kazaları önlemenin ve kaza meydana geldiğinde sonuçlarını azaltmanın temel araçlarından biri olarak ele alınır. Güvenlikle ilgili faaliyetlerin tasarım, işletme, organizasyon ve insan davranışı gibi farklı boyutlarına uygulanır. :contentReference[oaicite:6]{index=6}

NRC de savunma derinliğini; tek bir katmana bağımlı kalmamak için birden fazla bağımsız ve yedekli koruma katmanının kullanılması olarak tanımlar. :contentReference[oaicite:7]{index=7}

4. Savunma derinliğinin beş seviyesi

Kaynak seminer, savunma derinliğini geniş anlamda beş seviyede ele almaktadır. İlk üç seviye esas olarak olayların önlenmesi ve tesis içindeki sonuçların sınırlandırılmasına, sonraki seviyeler ise tasarım varsayımlarının ötesine geçen daha ağır koşullara ve nihai olarak acil durum yönetimine yöneliktir. :contentReference[oaicite:8]{index=8}

5. Birinci savunma seviyesi: olayın meydana gelmesini önlemek

Savunma derinliğinin birinci seviyesi, nükleer güvenliğin en temel katmanıdır. Bu seviyenin yaklaşımı, meydana gelmiş bir kazanın sonuçlarını yönetmekten önce, kazaya veya daha ciddi bir olaya dönüşebilecek anormal durumların ortaya çıkma olasılığını mümkün olduğunca azaltmaktır. Başka bir ifadeyle ilk savunma hattı, olay meydana geldikten sonra müdahale etmek yerine olayın başlangıç koşullarının oluşmasını önlemeye çalışır.

Kaynak materyalde bu seviye, “abnormality occurrence prevention” yani anormalliğin meydana gelmesini önlemeye yönelik tedbirler olarak tanımlanmaktadır. Bunun temelinde yalnızca iyi bir reaktör tasarımı değil; tasarım, ekipman seçimi, kalite, bakım, test, insan faktörleri ve işletme disiplininin birlikte ele alınması vardır. :contentReference[oaicite:1]{index=1}

Bu nedenle birinci savunma seviyesini yalnızca “tasarım aşamasında alınan önlemler” olarak görmek eksik olur. Tesisin güvenli davranışı, tasarım ile başlayan ve işletme boyunca sürdürülen bir bütünün sonucudur. Tasarımın doğru yapılması kadar, bu tasarımın öngördüğü koşulların korunması, ekipmanların güvenilirliğinin sürdürülmesi, kalite gereklerinin karşılanması ve işletme prosedürlerinin disiplinli biçimde uygulanması da önem taşır.

Tasarımın uygun standart ve kriterlere göre yapılması

Birinci savunma seviyesinin ilk koşullarından biri, tesisin güvenlik açısından önemli tasarım kararlarının uygun teknik standartlar, tasarım kriterleri ve düzenleyici gerekliliklerle uyumlu biçimde oluşturulmasıdır. Buradaki amaç yalnızca belirli hesapları tamamlamak değildir. Tasarımın, normal işletme koşullarından beklenen anormal durumlara kadar geniş bir çalışma aralığında öngörülebilir ve güvenilir davranması hedeflenir.

Tasarım kriterlerinin doğru belirlenmesi; ekipmanların çalışma sınırlarının, malzeme özelliklerinin, yapısal dayanımın, sıcaklık ve basınç koşullarının, elektriksel gereksinimlerin ve diğer mühendislik parametrelerinin gerçekçi biçimde değerlendirilmesini gerektirir. Böylece tesis, yalnızca ideal çalışma koşullarında değil, beklenen değişkenlikler ve makul ölçüde öngörülebilir zorlanmalar altında da güvenli çalışma özelliğini koruyabilir.

Tasarım marjı: sınırda çalışmamak

Güvenli tasarımın önemli unsurlarından biri yeterli tasarım marjının bırakılmasıdır. Bir ekipmanın veya yapının tam kapasitesine kadar zorlanması ile güvenlik açısından uygun bir çalışma aralığında tutulması aynı şey değildir.

Tasarım marjı; hesaplanan veya öngörülen çalışma koşulları ile ekipmanın güvenli çalışma sınırları arasında bir mesafe oluşturur. Bu mesafe, belirsizliklerin, modelleme farklılıklarının, ölçüm hatalarının, malzeme özelliklerindeki değişimlerin ve beklenmeyen çalışma koşullarının etkisini karşılamaya yardımcı olur. Bu nedenle tasarım marjı bir “fazladan kapasite” kavramından daha geniştir; belirsizliklere karşı güvenlik payıdır.

Güvenilir ekipman kullanımı

Güvenlik açısından önemli bir fonksiyonun güvenilir biçimde yerine getirilebilmesi için kullanılan ekipmanların da yeterli güvenilirliğe sahip olması gerekir. Ancak güvenilirlik yalnızca ekipmanın fabrikadan çıktığı andaki özelliği değildir. Ekipmanın seçimi, imalat kalitesi, montajı, devreye alınması, çalışma koşulları, bakım ve testleri birlikte değerlendirilmelidir.

Özellikle güvenlik fonksiyonlarına hizmet eden ekipmanların; sıcaklık, titreşim, nem, radyasyon, elektriksel koşullar ve tesisin maruz kalabileceği diğer çevresel etkiler altında görevini sürdürebilmesi önemlidir. Kaynak materyal de güvenilirlik kapsamında uygun standartların uygulanmasını, deprem ve yangın gibi çevresel etkilere dayanımı ve güvenlik fonksiyonunun korunmasını özellikle vurgulamaktadır. :contentReference[oaicite:2]{index=2}

Deprem ve diğer dış etkilere karşı dayanım

Bir nükleer tesisin güvenliği yalnızca tesis içindeki ekipmanların kendi aralarındaki ilişkisine bağlı değildir. Deprem, yangın ve diğer çevresel etkiler güvenlik fonksiyonlarını etkileyebilecek olaylar olarak tasarım aşamasında dikkate alınmalıdır.

Özellikle deprem açısından amaç, yalnızca binanın ayakta kalması değildir. Güvenlik açısından önemli yapı, sistem ve ekipmanların kendilerine verilen fonksiyonları gerekli koşullarda sürdürebilmeleri gerekir. Bu nedenle yapısal dayanım ile birlikte ekipmanların, bağlantıların ve ilgili sistemlerin bütünsel davranışı değerlendirilir.

Doğal güvenlik özellikleri

Birinci savunma seviyesinde mümkün olduğunda doğal veya pasif güvenlik özelliklerinden yararlanılması da önemli bir tasarım yaklaşımıdır. Buradaki temel düşünce, güvenli davranışın yalnızca aktif bir komutun verilmesine, karmaşık bir kontrol işlemine veya insan müdahalesine bağlı olmamasıdır.

Fiziksel yasaların ve tesisin tasarım özelliklerinin doğal sonucu olarak sistemi daha güvenli bir yöne taşıyan özellikler, uygun tasarım koşullarında ilave bir güvenlik katmanı oluşturabilir. Bu yaklaşım, aktif sistemlerin önemini ortadan kaldırmaz; ancak güvenliğin mümkün olduğunca farklı mekanizmalarla desteklenmesine katkı sağlar.

Fail-safe yaklaşımı

Fail-safe yaklaşımında amaç, belirli bir arıza veya beklenmeyen durum meydana geldiğinde sistemin mümkün olduğunca daha güvenli bir duruma yönelmesini sağlayacak tasarım özelliklerinin kullanılmasıdır. Burada “arıza olduğunda sistem kesinlikle güvenli kalır” gibi mutlak bir anlam bulunmaz. Esas olan, öngörülen arıza durumlarının güvenlik açısından daha elverişli bir duruma yönlendirilmesidir.

Böylece ekipmanın veya kontrol fonksiyonunun normal davranışını kaybetmesi, doğrudan daha büyük bir tehlikenin başlangıcı haline gelmek yerine, mümkün olduğunca güvenli bir duruma geçişi destekleyen bir tasarım yaklaşımıyla karşılanır.

Interlock ve insan-makine arayüzü

Nükleer tesislerde insan önemli bir güvenlik unsurudur; ancak insanın hata yapabileceği gerçeği de tasarımın bir parçası olarak dikkate alınır. Bu nedenle operatörün yanlış veya uygun olmayan bir işlemi gerçekleştirme ihtimalini azaltacak interlock mekanizmaları ve uygun insan-makine arayüzleri kullanılabilir.

İyi bir insan-makine arayüzü yalnızca çok sayıda bilgi göstermek anlamına gelmez. Operatörün tesisteki durumu doğru algılamasına, önemli bilgileri zamanında ayırt etmesine ve gerçekleştireceği işlemin sonucunu öngörebilmesine yardımcı olması gerekir. Interlock ise belirli işlemlerin güvenlik açısından uygun olmayan koşullarda gerçekleştirilmesini sınırlandırarak insan hatasına karşı ilave bir koruma sağlayabilir. Kaynak materyal, birinci seviye kapsamında interlock ile insan-makine arayüzünü özellikle belirtmektedir. :contentReference[oaicite:3]{index=3}

Kalite kontrolü: hata daha ortaya çıkmadan yakalamak

Birinci savunma seviyesinin güçlü olabilmesi için kalite kontrolünün tasarım ve üretim süreçlerinin ayrılmaz bir parçası olması gerekir. Amaç, bir uygunsuzluğu tesis işletmeye girdikten sonra fark etmek yerine hata daha erken aşamadayken belirlemek ve ortadan kaldırmaktır.

Malzeme, imalat, montaj, kaynak, elektriksel bağlantılar, ölçüm ve kontrol ekipmanları ile yapıların ilgili kalite gereklerini karşılaması; bunun doğrulanması ve kayıt altına alınması güvenlik açısından önem taşır. Böylece “son kontrolde kaliteyi aramak” yerine, kalite üretim sürecinin her aşamasına yerleştirilmiş olur.

Düzenli muayene, test ve doğrulama

Bir tesisin başlangıçta güvenilir olması, işletme süresince aynı güvenilirlik düzeyini kendiliğinden koruyacağı anlamına gelmez. Ekipmanlar zaman içinde aşınabilir, özelliklerini değiştirebilir veya çalışma koşullarından etkilenebilir.

Bu nedenle düzenli muayene ve testler, birinci savunma seviyesinin sürekliliği açısından kritik öneme sahiptir. Testlerin amacı yalnızca ekipmanın çalışıp çalışmadığını görmek değil; güvenlik açısından önemli fonksiyonların öngörülen performansı sağlayabildiğini doğrulamaktır. Kaynak materyal de düzenli muayene ve testleri birinci savunma seviyesinin temel tedbirleri arasında açıkça saymaktadır. :contentReference[oaicite:4]{index=4}

Sıkı işletme yönetimi

Tasarım ne kadar güçlü olursa olsun, tesisin güvenli işletilmesi için belirlenen sınırların ve prosedürlerin korunması gerekir. Bu nedenle sıkı işletme yönetimi, birinci savunma seviyesinin son fakat en az diğerleri kadar önemli unsurlarından biridir.

İşletme disiplininin amacı yalnızca prosedürlere uymak değildir. İşletme koşullarının izlenmesi, bakım ve testlerin zamanında yapılması, uygunsuzlukların değerlendirilmesi, değişikliklerin kontrol altında gerçekleştirilmesi, personelin yetkinliğinin korunması ve işletme deneyimlerinden yararlanılması birlikte ele alınmalıdır.

Birinci savunma seviyesinin temel mantığı

Birinci savunma seviyesinin bütün bu unsurları aslında tek bir düşüncede birleşir: “Kazayı yönetmeye çalışmadan önce kazanın başlangıç koşullarını mümkün olduğunca ortadan kaldır.”

Ancak hiçbir mühendislik sistemi için “hiç arıza olmayacak” varsayımı gerçekçi değildir. İşte savunma derinliğinin asıl gücü burada ortaya çıkar. Birinci seviye, anormalliklerin meydana gelme olasılığını azaltır; fakat bir anormalliğin yine de meydana gelebileceği kabul edilir. Bu durumda ikinci savunma seviyesi devreye girerek anormalliğin büyüyerek kazaya dönüşmesini önlemeye çalışır. Kaynak materyalde ikinci seviyenin de tam olarak bu varsayım üzerine kurulduğu görülmektedir. :contentReference[oaicite:5]{index=5}

Dolayısıyla savunma derinliğinin katmanları birbirinin alternatifi değildir. Birinci seviye ne kadar güçlü olursa olsun diğer seviyelere duyulan ihtiyaç ortadan kalkmaz. Tam tersine, ilk katmanın güçlü olması ile sonraki katmanların bağımsız koruma sağlaması birlikte değerlendirildiğinde gerçek anlamda savunma derinliği ortaya çıkar.

6. İkinci savunma seviyesi: anormalliği erken fark etmek

Birinci savunma seviyesinde alınan bütün önlemlere rağmen bir anormalliğin meydana gelebileceği kabul edilir. Çünkü hiçbir mühendislik sistemi, bütün arıza ve sapma olasılıklarını tamamen ortadan kaldıracak şekilde tasarlanamaz. Bu nedenle savunma derinliğinin ikinci seviyesi, “anormallik meydana gelirse bunu nasıl erken fark eder ve büyümesini nasıl engelleriz?” sorusuna cevap verir.

İkinci seviyenin temel amacı, normal işletme koşullarından ortaya çıkan sapmaları mümkün olduğunca erken belirlemek, değerlendirmek ve kontrol altına almak ve böylece bunların daha ciddi bir olay veya kazaya dönüşmesini önlemektir. Kaynak seminerde de bu seviye, önceki önlemlere rağmen bir anormalliğin ortaya çıktığı varsayımıyla, anormalliğin kazaya doğru ilerlemesini önlemeye yönelik tedbirler olarak açıklanmaktadır. :contentReference[oaicite:1]{index=1}

Bu nedenle ikinci savunma seviyesi yalnızca bir “alarm sistemi” değildir. Algılama, değerlendirme, koruma ve müdahale işlevlerinin birlikte çalıştığı bir güvenlik katmanıdır. Bir ölçümün sınır dışına çıkması tek başına yeterli değildir; bu değişimin güvenlik açısından anlamlandırılması ve gerekli tepkinin zamanında oluşturulması gerekir.

Anormalliğin erken tespiti

İkinci savunma seviyesinin ilk adımı, tesisin normal çalışma durumundan sapmaların erken ve güvenilir biçimde algılanmasıdır. Bunun için sıcaklık, basınç, seviye, debi, güç, akış ve benzeri işletme parametreleri sürekli veya uygun aralıklarla izlenebilir.

Buradaki temel düşünce basittir: Bir anormallik ne kadar erken fark edilirse, tesisi güvenli çalışma koşullarında tutmak veya yeniden güvenli bir duruma getirmek için o kadar fazla zaman ve seçenek bulunabilir. Bu nedenle ölçüm ve izleme sistemlerinin yalnızca bilgi üretmesi değil, güvenlik açısından anlamlı değişimleri zamanında ortaya çıkarabilmesi gerekir.

Kaynak materyal de ikinci seviyenin önemli unsurlarından biri olarak anormalliklerin erken belirlenmesi için izleme ve alarm sistemlerinin kurulmasını açıkça belirtmektedir. :contentReference[oaicite:2]{index=2}

Alarmın amacı: dikkat çekmek ve zaman kazandırmak

Bir alarm sisteminin amacı yalnızca operatöre çok sayıda uyarı göstermek değildir. Güvenlik açısından önemli olan, gerçekten anlamlı sapmaların operatör tarafından zamanında fark edilebilmesidir. Bunun için alarm bilgilerinin açık, anlaşılır ve önceliklendirilebilir olması gerekir.

Özellikle çok sayıda parametrenin aynı anda değişebildiği bir olay sırasında operatörün bilgi yükü artabilir. Bu nedenle insan-makine arayüzünün tasarımı, ikinci savunma seviyesinin etkinliğini doğrudan etkileyebilir. Amaç operatörü bilgiyle boğmak değil, tesisin durumunu doğru değerlendirmesine yardımcı olmaktır.

Koruma sistemleri ve hızlı tepki

Anormalliğin belirli bir sınırı aşması durumunda yalnızca alarm vermek yeterli olmayabilir. Tesisin güvenliğini korumak için belirli koruma fonksiyonlarının otomatik olarak devreye girmesi gerekebilir.

Kaynak materyalde bu kapsamda, anormalliğin tespit edilmesi halinde reaktörü hızlı biçimde durdurmaya yönelik güvenlik koruma ve reaktör durdurma sistemleri örnek olarak verilmektedir. Böylece tesisin daha ciddi bir duruma ilerlemesini engelleyecek koruyucu tepki, insan müdahalesinin zamanlamasına tamamen bağımlı olmaktan çıkarılabilir. :contentReference[oaicite:3]{index=3}

Buradaki amaç “her alarmda sistemi kapatmak” değildir. Güvenlik tasarımının gerektirdiği eşikler ve koruma mantıkları, hangi koşullarda hangi fonksiyonun devreye gireceğinin önceden belirlenmesini sağlar. Böylece anormal durumun gelişimine göre öngörülebilir, hızlı ve güvenilir bir tepki oluşturulması hedeflenir.

Anormalliğin büyümesini önlemek

İkinci savunma seviyesinin asıl başarısı, anormalliği yalnızca fark etmek değil, onun daha ciddi bir duruma dönüşmesini engellemektir. Örneğin bir işletme parametresinin normal aralıktan uzaklaşması, gerekli koruyucu işlemler zamanında gerçekleştirildiğinde daha büyük bir sistem bozulmasına dönüşmeden kontrol altına alınabilir.

Bu nedenle ikinci seviye ile birinci seviye arasında güçlü bir ilişki vardır. Birinci seviye anormalliğin ortaya çıkma olasılığını azaltırken, ikinci seviye ortaya çıkan anormalliğin yayılmasını ve büyümesini sınırlar. Kaynak materyalde de ikinci seviye, anormalliğin meydana geldiği varsayımı altında onun kazaya dönüşmesini önlemeye yönelik tedbirler olarak tanımlanmaktadır. :contentReference[oaicite:4]{index=4}

İnsan ve otomasyon arasındaki denge

İkinci savunma seviyesinde insan ve otomasyon birbirinin alternatifi olarak değil, birbirini tamamlayan unsurlar olarak düşünülebilir. Bazı güvenlik açısından kritik tepkilerin çok kısa sürede gerçekleşmesi gerektiğinde otomatik koruma işlevleri önemli bir avantaj sağlayabilir. Diğer durumlarda ise operatörün tesisi değerlendirmesi ve uygun işletme prosedürünü uygulaması gerekebilir.

Bu nedenle tasarımın önemli sorularından biri şudur: Hangi durumda sistem otomatik olarak tepki vermeli, hangi durumda karar operatöre bırakılmalı ve operatörün karar verebilmesi için hangi bilgiler sağlanmalıdır? Bu soruların cevabı insan faktörleri, zaman gereksinimleri ve güvenlik analizleriyle birlikte değerlendirilir.

Güvenilirlik ikinci seviyede de belirleyicidir

Anormalliği tespit eden ölçüm sisteminin veya koruyucu işlevin kendisinin güvenilir olmaması, ikinci savunma seviyesinin amacını zayıflatır. Bu nedenle güvenlik açısından önemli sistemlerde güvenilirlik, uygun tasarım, test edilebilirlik ve arızalara karşı dayanım gibi özellikler önem taşır.

Güvenilirlik yaklaşımı yalnızca tek bir ekipmanın kaliteli olmasına indirgenmez. Güvenlik fonksiyonunun tamamının gerekli durumda yerine getirilebilmesi gerekir. Kaynak materyal, güvenlik açısından önemli tesislerin güvenilirliğinin sağlanmasında uygun standartların yanı sıra deprem ve yangın gibi çevresel etkilere dayanım ile çoğulluk, çeşitlilik ve bağımsızlık gibi tasarım yaklaşımlarını da vurgulamaktadır. :contentReference[oaicite:5]{index=5}

İkinci savunma seviyesinin sınırı

İkinci savunma seviyesinin amacı anormalliği kontrol altında tutmaktır. Ancak burada da önemli bir mühendislik varsayımı vardır: İkinci seviyedeki bütün önlemlerin her koşulda başarılı olacağı kabul edilmez.

Eğer anormallik ikinci seviyenin öngördüğü koruyucu tedbirlerle sınırlandırılamaz ve olay daha ileri bir aşamaya geçerse, savunma derinliğinin üçüncü seviyesi devreye girer. Üçüncü seviye artık anormalliğin ilerlediğinin varsayılmasıyla, radyoaktif maddelerin çevreye salınmasını önlemeye ve olayın etkilerini sınırlandırmaya odaklanır. Kaynak materyalde üçüncü seviye kapsamında reaktörün kaza koşullarında soğutulması ve radyoaktif maddelerin muhafaza edilmesi özellikle belirtilmektedir. :contentReference[oaicite:6]{index=6}

7. Üçüncü savunma seviyesi: kazanın etkilerini sınırlandırmak

Birinci savunma seviyesi anormalliğin meydana gelmesini, ikinci savunma seviyesi ise meydana gelen anormalliğin büyüyerek kazaya dönüşmesini önlemeye çalışır. Ancak savunma derinliğinin temel yaklaşımı, bu iki seviyenin her zaman başarılı olacağını varsaymaz. Olayın daha ileri bir aşamaya ulaşabileceği kabul edilir ve bu durumda da güvenliği sürdürecek bir sonraki koruma katmanı hazır tutulur.

Üçüncü savunma seviyesinin temel amacı, artık bir kazanın meydana geldiği veya ciddi bir kaza koşulunun oluştuğu varsayımı altında, kazanın ilerlemesini kontrol etmek ve radyoaktif maddelerin çevreye ulaşabilecek sonuçlarını mümkün olduğunca sınırlandırmaktır. Kaynak materyal bu seviyeyi özellikle kaza sırasında reaktörün soğutulması ve radyoaktif maddelerin muhafaza edilmesi üzerinden açıklamaktadır. :contentReference[oaicite:1]{index=1}

Bu nedenle üçüncü seviye, “kazayı tamamen ortadan kaldırma” yaklaşımından ziyade kazanın fiziksel sonuçlarını yönetme ve sınırlandırma yaklaşımıdır. Tasarımın amacı, olayın daha ağır sonuçlara ilerlemesini engellemek ve güvenlik açısından kritik fonksiyonların mümkün olduğunca uzun süre korunmasını sağlamaktır.

Reaktörün soğutulmasını sürdürmek

Nükleer reaktör durdurulduktan sonra zincirleme fisyon reaksiyonu sona erdirilmiş olsa bile yakıtın ve reaktör sistemlerinin hemen tamamen soğuması beklenmez. Bu nedenle kaza koşullarında ısı uzaklaştırma ve soğutma fonksiyonunun sürdürülebilmesi nükleer güvenliğin temel unsurlarından biridir.

Üçüncü savunma seviyesinin önemli hedeflerinden biri, kaza koşullarında reaktörün güvenli biçimde soğutulmasını sağlayacak tasarım özelliklerinin kullanılabilmesidir. Kaynak materyalde bu kapsamda özellikle acil durum soğutma sistemi örnek olarak verilmektedir. :contentReference[oaicite:2]{index=2}

Buradaki amaç yalnızca sıcaklığı düşürmek değildir. Soğutma fonksiyonunun korunması; yakıtın aşırı ısınmasını önlemek, yakıt kaplamasının ve ilgili yapıların bütünlüğünü korumak ve kazanın daha ileri fiziksel sonuçlara ilerlemesini sınırlandırmak açısından önemlidir.

Radyoaktif maddelerin muhafaza edilmesi

Üçüncü savunma seviyesinin ikinci temel boyutu, radyoaktif maddelerin tesis içinde tutulması ve çevreye yayılmasının sınırlandırılmasıdır. Bunun temelinde fiziksel bariyerler ve muhafaza işlevleri bulunur.

Bir nükleer tesis içinde radyoaktif maddelerin bulunması tek başına çevreye radyasyon salındığı anlamına gelmez. Tasarımın temel amaçlarından biri, radyoaktif maddelerin bulunduğu bölgeler ile çevre arasında birden fazla koruyucu bariyer oluşturmak ve bu bariyerlerin bütünlüğünü mümkün olduğunca korumaktır.

Kaynak materyalde bu kapsamda reaktör muhafaza yapısı (containment) ve muhafaza içindeki belirli sistemler, örneğin containment spray gibi işlevler örneklenmektedir. :contentReference[oaicite:3]{index=3}

“Radyoaktif madde açığa çıktı” ile “çevreye yayıldı” aynı şey değildir

Üçüncü savunma seviyesini anlamak için önemli bir ayrım burada ortaya çıkar. Bir kazada radyoaktif maddenin bulunduğu bir sınırın veya bariyerin zarar görmesi ile bu maddenin doğrudan dış çevreye ulaşması aynı olay değildir.

Radyoaktif maddenin kaynağı ile halk ve çevre arasında kalan fiziksel ve fonksiyonel bariyerler, kazanın sonuçlarını sınırlandırmak için kritik bir rol oynar. Bu nedenle nükleer güvenlik tasarımında yalnızca “kaynak nasıl korunur?” sorusu değil, “bir bariyer işlevini kaybederse sonraki bariyer nasıl korunur?” sorusu da önemlidir.

Soğutma ve muhafaza birbirini tamamlar

Reaktörün soğutulması ile radyoaktif maddelerin muhafaza edilmesi birbirinden bağımsız iki konu değildir. Soğutma fonksiyonunun korunması, yakıt ve ilgili yapıların bütünlüğünün sürdürülmesine yardımcı olurken; muhafaza sistemleri, radyoaktif maddelerin tesis içinde tutulmasına yönelik ikinci bir koruma mekanizması oluşturur.

Böylece üçüncü savunma seviyesi iki temel güvenlik hedefini birlikte destekler: reaktörün ve yakıtın güvenli koşullarda tutulması ve radyoaktif maddelerin çevreye salınmasının sınırlandırılması. Kaynak materyalin üçüncü seviye için verdiği iki temel örnek de doğrudan bu iki hedefe karşılık gelmektedir. :contentReference[oaicite:4]{index=4}

Fiziksel bariyerlerin önemi

Nükleer güvenlik tasarımında fiziksel bariyerlerin değeri, tek bir bariyerin kusursuz çalışacağı varsayımından değil, koruma işlevlerinin katmanlı biçimde oluşturulmasından kaynaklanır. Her bariyer farklı bir güvenlik işlevi üstlenebilir ve bunların birlikte çalışması, radyoaktif maddelerin çevreye ulaşma olasılığını azaltır.

Bu yaklaşım aynı zamanda üçüncü savunma seviyesinin neden yalnızca bir “acil durum sistemi” olarak görülmemesi gerektiğini gösterir. Kazanın etkilerini sınırlandırmak; soğutma, muhafaza, yapısal bütünlük, ölçüm ve kontrol gibi birbiriyle ilişkili güvenlik fonksiyonlarının birlikte korunmasını gerektirebilir.

Tasarımın başarısı kaza sırasında ortaya çıkar

Normal işletmede birçok güvenlik özelliğinin varlığı kullanıcı tarafından doğrudan fark edilmeyebilir. Ancak ciddi bir olay meydana geldiğinde, tasarımın gerçek güvenlik kapasitesi ortaya çıkar. Bu nedenle güvenlik açısından önemli sistemlerin yalnızca tasarım aşamasında yeterli olması değil, gerektiğinde çalışabilir durumda olduğunun testler, analizler ve doğrulamalarla gösterilmesi gerekir.

Üçüncü savunma seviyesinde özellikle önemli olan noktalardan biri de güvenlik fonksiyonlarının tek bir ekipmana indirgenmemesidir. Güvenlik açısından önemli sistemlerin güvenilirliği; uygun tasarım, çevresel etkilere dayanım, çoğulluk, çeşitlilik ve bağımsızlık gibi yaklaşımlarla desteklenebilir. Kaynak materyal de bu unsurları güvenilirlik yaklaşımının temel bileşenleri arasında göstermektedir. :contentReference[oaicite:5]{index=5}

8. Dördüncü savunma seviyesi: tasarımın ötesindeki koşullar

Nükleer güvenlik tasarımının gelişmesiyle birlikte, yalnızca tasarım esaslı kazaların kontrol edilmesine odaklanmanın yeterli olmadığı anlaşılmıştır. Bir tesisin güvenlik sistemleri, önceden tanımlanmış olaylara karşı çok sayıda koruma önlemi içerse bile, beklenmeyen birleşik olaylar, uzun süreli sistem kayıpları veya tasarım varsayımlarının ötesine geçen koşullar ortaya çıkabilir.

Bu nedenle savunma derinliğinin dördüncü seviyesi, ilk üç savunma seviyesinin yeterli olmadığı varsayımını başlangıç noktası olarak kabul eder. Amaç, böyle bir durumda ağır kazanın meydana gelmesini mümkün olduğunca önlemek ve kaza başlamışsa ilerlemesini ve sonuçlarını sınırlamaktır. Kaynak materyal de dördüncü seviyeyi, tasarım varsayımlarının ötesindeki iç ve dış etkenler nedeniyle önceki önlemlerin başarısız olması durumuna yönelik önlemler olarak tanımlamaktadır. :contentReference[oaicite:1]{index=1}

Buradaki temel düşünce oldukça önemlidir: “Önceki sistemler çalışmadıysa artık yapılabilecek hiçbir şey yoktur” anlayışı kabul edilmez. Bunun yerine, tesisin güvenliğini korumaya yönelik ilave seçeneklerin oluşturulması ve mevcut güvenlik fonksiyonlarının farklı koşullarda sürdürülebilmesi hedeflenir.

Dördüncü seviyenin temel amacı

Birinci seviyede olayın meydana gelmesi önlenmeye, ikinci seviyede ortaya çıkan anormallik erken algılanarak kontrol altına alınmaya, üçüncü seviyede ise kaza koşullarında soğutma ve radyoaktif maddelerin çevreye yayılmasının sınırlandırılmasına çalışılır.

Dördüncü seviyede ise daha ağır bir varsayım yapılır: ilk üç seviyedeki güvenlik önlemlerinin beklenen şekilde başarılı olmadığı bir durumla karşı karşıyayız. Böylece güvenlik yaklaşımı, kazayı yalnızca tasarımda öngörülen sistemlerle kontrol etmekten çıkar ve kazanın ilerlemesini durdurabilecek veya etkilerini azaltabilecek ilave olanaklara yönelir.

Bu yaklaşım özellikle reaktörün güvenli koşullarda tutulması, soğutma fonksiyonlarının mümkün olduğunca sürdürülmesi, enerji ve diğer gerekli güvenlik fonksiyonlarının yeniden sağlanması ve kazanın sonuçlarının sınırlandırılması açısından önem taşır.

Önleyici ve etki azaltıcı önlemler

Kaynak materyal dördüncü seviye önlemlerini iki temel yaklaşım altında ele almaktadır. Bunlardan ilki, ağır kazanın ortaya çıkmasını önlemeye veya ilerlemesini sınırlamaya yönelik önleyici ve etki azaltıcı önlemlerdir. İkincisi ise olayın gelişimine bağlı olarak uygulanabilecek acil işletme önlemleri ve geçici tesislerin kullanılmasıdır. :contentReference[oaicite:2]{index=2}

Bu ayrım, dördüncü seviyenin yalnızca belirli bir güvenlik ekipmanından oluşmadığını gösterir. Burada önemli olan, farklı kaza koşullarında kullanılabilecek alternatif güvenlik yollarının önceden düşünülmüş ve uygulanabilir hale getirilmiş olmasıdır.

Alternatif güvenlik olanakları

Ağır kaza koşullarında normal güvenlik sistemlerinden bir veya birkaçının kullanılamaması mümkündür. Bu nedenle güvenlik yaklaşımı, kritik fonksiyonların mümkün olduğunca alternatif yollarla sürdürülebilmesini hedefler.

Kaynak materyalde bu kapsamda alternatif enjeksiyon olanakları, muhafaza yapısına yönelik havalandırma uygulamaları, acil enerji kaynaklarının birbirleriyle desteklenmesi ve harici bir güç kaynağının kullanılabilmesi gibi örnekler verilmektedir. :contentReference[oaicite:3]{index=3}

Bu tür önlemlerin ortak özelliği, normal işletme düzeninin dışına çıkılmış olsa bile kritik güvenlik fonksiyonlarına yeni bir yol sağlamaya çalışmalarıdır. Böylece tek bir ekipmanın, tek bir enerji kaynağının veya tek bir işletme yönteminin kaybedilmesi, tesisin güvenliğini koruma seçeneklerinin tamamının ortadan kalkmasına neden olmaz.

Acil işletme ve geçici olanaklar

Dördüncü savunma seviyesinde bazı önlemler normal işletme sistemlerinin sürekli bir parçası olarak değil, olayın koşullarına göre kullanılabilecek acil durum uygulamaları şeklinde tasarlanabilir.

Bunun yanında, tesisin kalıcı sistemlerinin kullanılamadığı veya yeterli olmadığı koşullarda geçici tesis ve ekipmanların devreye alınması da güvenlik yaklaşımının bir parçası olabilir. Kaynak materyal, dördüncü seviyede olay koşullarına bağlı acil işletme önlemleri ile geçici tesislerin kullanımını özellikle vurgulamaktadır. :contentReference[oaicite:4]{index=4}

Buradaki amaç, olağan işletme düzenini sürdürmek değildir. Amaç, olağan düzenin bozulduğu ağır bir kazada güvenliği koruyabilecek işlevleri mümkün olduğunca yeniden oluşturmak veya sürdürmektir.

Dördüncü seviye neden farklıdır?

Dördüncü savunma seviyesini ilk üç seviyeden ayıran en önemli özellik, güvenlik tasarımının öngördüğü normal sınırların ötesindeki koşulların dikkate alınmasıdır. Bu nedenle dördüncü seviye, ilk üç seviyedeki sistemlerin yalnızca daha büyük veya daha güçlü bir kopyası olarak düşünülmemelidir.

Esas amaç, ilk savunma katmanlarının başarısızlığından sonra yeni bir güvenlik fırsatı yaratmaktır. Bu, alternatif sistemler, farklı enerji veya enjeksiyon olanakları, olay koşullarına bağlı işletme stratejileri ve gerektiğinde geçici ekipmanların kullanılması gibi birbirini tamamlayan yaklaşımlarla gerçekleştirilebilir.

Dördüncü seviyenin temel düşüncesi: İlk üç savunma seviyesinin başarısız olması, güvenlik yaklaşımının sona erdiği anlamına gelmez. Tasarımın ötesindeki ağır koşullarda bile kazanın ilerlemesini durdurabilecek veya sonuçlarını azaltabilecek ilave güvenlik seçenekleri bulunmalıdır.

Böylece savunma derinliğinin dördüncü seviyesi, “kazayı önleme” yaklaşımından “çok ağır bir kazada bile sonuçları sınırlama” yaklaşımına geçişi temsil eder. Ancak bu seviyenin de yeterli olmadığı ve radyoaktif salımın çevreye ulaşabileceği durumlar için savunma derinliğinin beşinci seviyesi devreye girer.

9. Beşinci savunma seviyesi: tesis dışındaki insanların korunması

Savunma derinliğinin ilk dört seviyesi esas olarak tesisin güvenliğini korumaya ve kazanın ilerlemesini mümkün olduğunca sınırlandırmaya yöneliktir. Ancak en ağır senaryolarda, bütün teknik ve işletme önlemlerine rağmen radyoaktif maddelerin tesis dışına ulaşabileceği ihtimali de göz ardı edilmez.

Beşinci savunma seviyesi tam olarak bu noktada devreye girer. Amaç artık yalnızca tesis içerisindeki fiziksel sistemleri korumak değildir. Radyoaktif salımın insanlara ve çevreye oluşturabileceği etkileri sınırlandırmak için tesis sınırlarının dışında uygulanacak acil durum hazırlıklarının ve koruyucu mekanizmaların oluşturulmasıdır.

Bu nedenle nükleer güvenlik yaklaşımı, tesisin çevresindeki toplumun korunmasını tesis dışı ve ikincil bir konu olarak görmez. Tam tersine, savunma derinliğinin beşinci seviyesi, nükleer güvenliğin nihai hedefinin insanları ve çevreyi radyolojik etkilerden korumak olduğunu ortaya koyan önemli bir güvenlik katmanıdır.

Acil durum hazırlığının amacı

Beşinci seviyenin temelinde acil durum hazırlığı bulunur. Acil durum hazırlığı, olay meydana geldikten sonra ne yapılacağını düşünmekten ibaret değildir. Olası olayların önceden değerlendirilmesi, görev ve sorumlulukların belirlenmesi, karar mekanizmalarının oluşturulması, haberleşme düzeninin kurulması ve gerekli kaynakların hazırlanması bu yaklaşımın parçalarıdır.

Böylece gerçek bir acil durumda kararların tamamen olayın baskısı altında ve hazırlıksız biçimde alınması yerine, önceden tanımlanmış bir organizasyon ve müdahale yapısı kullanılabilir.

Tesis içi ve tesis dışı koordinasyon

Büyük bir radyolojik acil durum yalnızca tesis içerisindeki teknik ekiplerin müdahalesiyle yönetilemez. Olayın niteliğine bağlı olarak tesis işletmesi ile kamu kurumları, acil durum ekipleri, radyolojik izleme birimleri, sağlık hizmetleri ve yerel yönetimler arasında koordinasyon gerekebilir.

Bu nedenle beşinci savunma seviyesinde yetki, sorumluluk, haberleşme ve karar alma zincirlerinin önceden belirlenmesi büyük önem taşır. Farklı kuruluşların aynı olay hakkında farklı değerlendirmeler yapmasını veya kritik bilgilerin karar vericilere zamanında ulaşmamasını önleyecek bir koordinasyon yapısı oluşturulmalıdır.

Radyolojik izleme ve durumun değerlendirilmesi

Tesis dışındaki insanların korunabilmesi için öncelikle radyolojik durumun mümkün olduğunca doğru ve zamanında değerlendirilmesi gerekir. Bu kapsamda radyolojik izleme, ölçüm sonuçlarının değerlendirilmesi ve olayın gelişiminin takip edilmesi acil durum yönetiminin önemli unsurlarıdır.

Elde edilen bilgiler, olayın niteliğinin ve olası etkilerin değerlendirilmesine yardımcı olur. Böylece koruyucu eylemler, yalnızca varsayımlara dayanmak yerine mevcut ölçümler ve teknik değerlendirmeler ışığında şekillendirilebilir.

Karar destek mekanizmaları

Radyolojik acil durumlarda kararların hızlı alınması kadar, doğru bilgiye dayanarak alınması da önemlidir. Bu nedenle acil durum yönetiminde ölçüm sonuçlarını, tesis bilgilerini, meteorolojik koşulları ve diğer ilgili verileri birlikte değerlendirmeye yardımcı olan karar destek mekanizmaları kullanılabilir.

Bu sistemlerin amacı kararı insanlardan almak değil, karar vericilerin doğru bilgiye daha hızlı ulaşmasını sağlamaktır. Özellikle belirsizliğin yüksek olduğu erken aşamalarda güvenilir bilgi akışı, uygulanacak koruyucu önlemlerin zamanlaması açısından kritik önem taşır.

Halkın korunmasına yönelik koruyucu eylemler

Bir radyolojik acil durumda temel amaç, insanların maruz kalabileceği radyasyon dozunu mümkün olduğunca azaltmaktır. Olayın koşullarına göre uygulanabilecek koruyucu eylemler; yetkili makamların değerlendirmeleri doğrultusunda sığınma, tahliye, erişimin sınırlandırılması, gıda ve su kaynaklarının kontrolü veya diğer uygun radyasyondan korunma önlemlerini içerebilir.

Burada önemli olan, her olayda aynı önlemin otomatik olarak uygulanması değildir. Koruyucu eylemlerin niteliği ve kapsamı; olayın gelişimine, radyolojik değerlendirmelere, maruziyet riskine ve yetkili makamların kararlarına göre belirlenmelidir.

İletişim ve doğru bilginin önemi

Radyolojik acil durumlarda teknik müdahale kadar doğru, anlaşılır ve zamanında iletişim de önemlidir. Halkın ne olduğu, hangi riskin bulunduğu ve hangi davranışların uygulanması gerektiği konusunda güvenilir bilgiye ulaşabilmesi, acil durum yönetiminin önemli bir parçasıdır.

Bilgi eksikliği veya çelişkili açıklamalar toplumda gereksiz endişeye, yanlış davranışlara ve acil durum yönetiminin zorlaşmasına neden olabilir. Bu nedenle iletişim mekanizmalarının da teknik sistemler kadar önceden hazırlanmış ve düzenli olarak gözden geçirilmiş olması gerekir.

Beşinci seviyenin savunma derinliğindeki yeri

Beşinci savunma seviyesi, önceki dört seviyenin yerine geçen bir güvenlik katmanı değildir. Aksine, savunma derinliğinin en dıştaki koruma halkasını oluşturur. İlk seviyelerde olayın meydana gelmesi önlenmeye çalışılır; ikinci seviyede anormallik kontrol altına alınır; üçüncü seviyede kaza koşullarının sonuçları sınırlandırılır; dördüncü seviyede çok ağır kaza koşullarında ilave güvenlik seçenekleri kullanılır.

Beşinci seviyede ise bütün bu çabalara rağmen çevreye radyolojik etki oluşabileceği varsayımı altında, insanların maruziyetini ve toplum üzerindeki sonuçları azaltmaya yönelik hazırlıklar devreye girer.

10. Güvenlik açısından önemli sistemler

Nükleer tesislerde bütün yapı, sistem ve bileşenlerin güvenlik açısından aynı öneme sahip olması beklenmez. Bir ekipmanın arızalanması yalnızca işletme performansını etkileyebilirken, başka bir ekipmanın arızalanması reaktörün güvenli duruma getirilmesini, soğutulmasını veya radyoaktif maddelerin çevreye salınmasının sınırlandırılmasını doğrudan etkileyebilir.

Bu nedenle güvenlik tasarımının önemli adımlarından biri, tesis içerisinde güvenlik açısından önemli olan yapı, sistem ve bileşenlerin (SSC) belirlenmesidir. Daha sonra bunların güvenlik açısından önem dereceleri değerlendirilir ve buna uygun tasarım, imalat, kalite, test, bakım ve işletme gereklilikleri oluşturulur.

Bu yaklaşımın temel amacı, bütün ekipmanlara aynı gereklilikleri uygulamak değildir. Asıl amaç, güvenlik açısından daha kritik bir işlevi yerine getiren sistemlerin daha yüksek güvenilirlik ve kalite gerekliliklerini karşılamasını sağlamaktır. IAEA'nın güvenlik sınıflandırması yaklaşımı da yapı, sistem ve bileşenlerin işlevleri ve güvenlik önemleri temelinde belirlenmesini öngörmektedir. :contentReference[oaicite:1]{index=1}

Güvenlik öneminin belirlenmesi

Bir sistemin güvenlik açısından önemini belirlerken yalnızca “çalışıyor mu, çalışmıyor mu?” sorusu yeterli değildir. Öncelikle sistemin hangi güvenlik fonksiyonunu yerine getirdiği ve bu fonksiyonun kaybedilmesi halinde tesis üzerinde ne tür sonuçlar ortaya çıkabileceği değerlendirilir.

Bu değerlendirmede özellikle; güvenlik fonksiyonunun önemi, fonksiyonun yerine getirilememesinin olası sonuçları, sistemin bu fonksiyona ne sıklıkla ihtiyaç duyacağı ve olaydan sonra ne zaman veya ne kadar süreyle çalışmasının gerekli olduğu gibi faktörler dikkate alınabilir. :contentReference[oaicite:2]{index=2}

Dolayısıyla güvenlik sınıflandırması yalnızca ekipmanın fiziksel büyüklüğüne veya karmaşıklığına göre yapılmaz. Bir ekipmanın tesis güvenliği açısından üstlendiği işlev, onun güvenlik öneminin belirlenmesinde temel unsurlardan biridir.

Güvenlik fonksiyonları ve bunları gerçekleştiren sistemler

Güvenlik açısından önemli sistemleri anlamanın en iyi yollarından biri, onları gerçekleştirdikleri güvenlik fonksiyonları üzerinden değerlendirmektir. Bir sistem doğrudan bir güvenlik fonksiyonunu yerine getirebilir veya başka bir güvenlik sisteminin çalışması için gerekli desteği sağlayabilir.

Bu nedenle yalnızca ana güvenlik sistemlerine bakmak yeterli değildir. Elektrik, soğutma, ölçüm, kontrol, haberleşme ve diğer yardımcı sistemler de destekledikleri güvenlik fonksiyonunun gerektirdiği güvenilirlik düzeyine sahip olmalıdır. IAEA'nın yardımcı ve destek sistemlerine ilişkin yaklaşımında da bu sistemlerin güvenlik açısından önemlerinin, destekledikleri fonksiyonlarla uyumlu olması gerektiği vurgulanmaktadır. :contentReference[oaicite:3]{index=3}

Güvenilirlik gerekliliklerinin farklılaştırılması

Güvenlik öneminin belirlenmesinden sonra sıra, ilgili sistem ve bileşenlerin ne düzeyde güvenilir olması gerektiğinin belirlenmesine gelir. Güvenlik açısından kritik bir fonksiyon için kullanılan bir ekipmanın sıradan bir endüstriyel ekipmanla aynı tasarım ve kalite yaklaşımına tabi olması yeterli olmayabilir.

Güvenlik önemine bağlı olarak tasarım kuralları, kullanılan standartlar, üretim ve imalat kontrolleri, test ve muayene yöntemleri, bakım programları, çevresel koşullara dayanım ve diğer teknik gereklilikler farklılaştırılabilir. IAEA yaklaşımında güvenlik sınıflandırmasının amaçlarından biri de uygulanacak uygun kod ve standartların yanı sıra yedeklilik, acil enerji ve çevresel koşullara dayanım gibi tasarım özelliklerinin belirlenmesine temel oluşturmaktır. :contentReference[oaicite:4]{index=4}

Yedeklilik, çeşitlilik ve bağımsızlık

Yüksek güvenilirlik yalnızca daha kaliteli tek bir ekipman kullanılmasıyla sağlanmaz. Kritik güvenlik fonksiyonlarında yedeklilik, çeşitlilik ve bağımsızlık gibi tasarım ilkeleri de önem kazanır.

Yedeklilik, aynı güvenlik fonksiyonunun birden fazla ekipman veya kanal tarafından gerçekleştirilebilmesini sağlar. Çeşitlilik, aynı arızanın farklı kanalları aynı şekilde etkileyebilmesi riskini azaltmaya yardımcı olur. Bağımsızlık ise bir sistemde meydana gelen arızanın, diğer güvenlik kanallarını da aynı anda devre dışı bırakmasını önlemeye yöneliktir.

Burada özellikle tek hata ile ortak nedenli arıza arasındaki fark önemlidir. Bir sistemin birden fazla yedek kanala sahip olması, bu kanalların aynı ortak nedenle birlikte kaybedilemeyeceği anlamına gelmez. Bu nedenle güvenilirlik değerlendirmesinde yalnızca ekipman sayısına değil, bu ekipmanların birbirlerinden ne ölçüde bağımsız olduğuna da bakılır.

Destek sistemleri neden güvenlik açısından önemlidir?

Bir güvenlik sisteminin kendi başına güvenilir olması yeterli değildir. O sistemi çalıştıran veya çalışır durumda tutan destek sistemleri de aynı güvenlik zincirinin bir parçasıdır.

Örneğin bir güvenlik fonksiyonunun gerçekleştirilebilmesi için elektrik enerjisi, soğutma, ölçüm, kontrol veya yardımcı akışkanlara ihtiyaç duyuluyorsa, bu desteklerin kaybı ana güvenlik fonksiyonunun da kaybedilmesine yol açabilir. Bu nedenle destek sistemleri ile destekledikleri güvenlik sistemleri birlikte değerlendirilmelidir. :contentReference[oaicite:5]{index=5}

Güvenlik sınıflandırması bir “etiket” değildir

Güvenlik sınıflandırmasının amacı bir ekipmana yalnızca bir sınıf etiketi vermek değildir. Sınıflandırma, tasarımın geri kalanını etkileyen bir karar mekanizmasının başlangıç noktasıdır.

Bir sistemin güvenlik önemi belirlendiğinde bunun tasarım kriterlerinden kalite güvence faaliyetlerine, imalat ve montajdan test ve bakıma kadar birçok sonucu olabilir. Böylece güvenlik açısından önemli sistemlerin güvenilirliği, onların tesis içerisindeki gerçek güvenlik fonksiyonlarıyla orantılı biçimde ele alınır.

11. Güvenlik sınıflandırması neden gereklidir?

Güvenlik açısından önemli yapı, sistem ve bileşenlerin sınıflandırılmasının temel amacı, tesis içerisindeki bütün ekipmanlara aynı güvenlik gerekliliklerini uygulamak yerine, güvenlik açısından taşıdıkları öneme uygun gerekliliklerin belirlenmesini sağlamaktır.

Çünkü bir sistemin arızalanmasının sonucu ile başka bir sistemin arızalanmasının sonucu aynı olmayabilir. Bir ekipmanın kaybedilmesi yalnızca üretim performansını etkileyebilirken, başka bir ekipmanın kaybedilmesi reaktörün durdurulmasını, soğutulmasını veya radyoaktif maddelerin çevreye yayılmasının sınırlandırılmasını etkileyebilir.

Bu nedenle güvenlik sınıflandırması, “hangi ekipman daha pahalı veya daha karmaşık?” sorusundan çok, “hangi güvenlik fonksiyonunu yerine getiriyor ve bu fonksiyonun kaybedilmesinin sonucu ne olur?” sorusuna dayanır.

Kaynak materyalde de güvenlik fonksiyonlarının belirlenmesi, ardından yapı, sistem ve bileşenlerin güvenlik önemlerine göre sınıflandırılması ve buna uygun güvenilirlik gereklerinin uygulanması yaklaşımı ortaya konmaktadır. :contentReference[oaicite:0]{index=0}

Böylece güvenlik sınıflandırması, savunma derinliğinin yalnızca kavramsal bir yaklaşım olarak kalmasını önler; tasarım, kalite, güvenilirlik, test, bakım ve işletme gerekliliklerinin sistematik biçimde belirlenmesine yardımcı olur.

Güvenlik sınıflandırmasının önemli sonuçlarından biri de kaynakların güvenlik önceliklerine göre kullanılabilmesidir. Her sistem için aynı düzeyde tasarım karmaşıklığı, kalite kontrolü, test veya bakım gerekliliği öngörmek hem teknik açıdan gerekli olmayabilir hem de güvenlik açısından en kritik sistemlere ayrılması gereken mühendislik ve denetim kaynaklarının dağılmasına neden olabilir.

Buna karşılık, güvenlik açısından yüksek öneme sahip bir fonksiyon için gereğinden düşük güvenilirlik gereklilikleri belirlenmesi de kabul edilebilir değildir. Bu nedenle sınıflandırmanın amacı yalnızca kaynak tasarrufu yapmak değil, güvenlik gerekliliklerini güvenlik fonksiyonunun önemine uygun seviyeye taşımaktır.

Güvenlik fonksiyonundan ekipmana doğru ilerleyen yaklaşım

Güvenlik sınıflandırmasının mantığını anlamanın en kolay yolu, değerlendirmeyi ekipmandan değil güvenlik fonksiyonundan başlatmaktır. Önce tesisin hangi güvenlik fonksiyonlarını yerine getirmesi gerektiği belirlenir. Daha sonra bu fonksiyonları gerçekleştiren yapı, sistem ve bileşenler tanımlanır.

Bundan sonraki aşamada, ilgili fonksiyonun kaybedilmesinin sonuçları ve güvenlik açısından önemi değerlendirilir. Sonuçta sistem veya bileşen için uygulanması gereken güvenilirlik, kalite ve doğrulama gereklilikleri belirlenebilir.

Bu yaklaşım şu basit zincirle özetlenebilir:

Sınıflandırma ile güvenilirlik arasındaki ilişki

Güvenlik sınıflandırmasının bir diğer önemli amacı, güvenlik açısından farklı öneme sahip sistemler arasında uygun güvenilirlik hedeflerinin farklılaştırılmasını sağlamaktır. Güvenlik fonksiyonunun önemi arttıkça, bu fonksiyonun güvenilir biçimde yerine getirilmesini sağlayacak tasarım özelliklerinin de daha dikkatli biçimde ele alınması gerekir.

Bu noktada yedeklilik, çeşitlilik, bağımsızlık, çevresel koşullara dayanım, yangın ve deprem gibi dış tehlikelere karşı dayanıklılık, enerji kaynaklarının sürekliliği, test edilebilirlik ve bakım yapılabilirlik gibi tasarım özellikleri önem kazanabilir.

Ancak yüksek güvenilirlik yalnızca aynı ekipmandan daha fazla sayıda kullanılması anlamına gelmez. Yedek sistemlerin ortak bir arıza nedeni ile birlikte kaybedilmemesi, birbirlerinden yeterince bağımsız olması ve gerektiğinde farklı çalışma prensiplerinden yararlanılması da değerlendirilmelidir.

Güvenlik sınıfları neden evrensel değildir?

Burada özellikle dikkat edilmesi gereken bir konu, güvenlik sınıflarının adlarının ve sınıflandırma şemalarının bütün ülkelerde aynı olmadığıdır. Farklı düzenleyici sistemler, farklı sınıf adları, kategoriler veya ayrıntılı sınıflandırma kriterleri kullanabilir.

Bu nedenle belirli bir düzenleyici sistemde kullanılan sınıf adlarını bütün nükleer tesisler için evrensel sınıflar olarak değerlendirmek doğru değildir. Farklı sistemlerin ortak noktası, güvenlik fonksiyonunun önemini belirlemek ve bu öneme uygun tasarım, güvenilirlik ve kalite gereklerini uygulamaktır.

Dolayısıyla güvenlik sınıflandırmasını öğrenirken sınıf isimlerinden önce sınıflandırmanın arkasındaki mühendislik mantığını anlamak gerekir. Sınıf adı değişebilir; ancak güvenlik açısından önemli fonksiyonların belirlenmesi ve bunların güvenilir biçimde yerine getirilmesinin sağlanması temel amaç olarak kalır.

13. Güvenilirlik nasıl artırılır?

Güvenlik açısından önemli bir sistemin güvenilir olması yalnızca kaliteli ekipman kullanılması anlamına gelmez. Güvenilirlik, sistemin tasarımından başlayarak ekipman seçimine, imalat ve montaj kalitesine, çevresel koşullara dayanımına, destek sistemlerine, test ve bakım olanaklarına kadar uzanan bütüncül bir tasarım özelliğidir.

Bir güvenlik fonksiyonunun gerektiği anda gerçekleştirilebilmesi için yalnızca tek bir ekipmanın güvenilir olması yeterli değildir. Fonksiyonu oluşturan sistemlerin ve onları destekleyen altyapının birlikte değerlendirilmesi gerekir. Bu nedenle güvenilirlik, tek tek parçaların özelliklerinin toplamından daha geniş bir kavramdır.

Nükleer güvenlik tasarımında güvenilirliği artırmak için birbirini tamamlayan çeşitli mühendislik prensipleri birlikte kullanılır. Bunların temel amacı, tek bir arızanın, tek bir dış etkinin veya tek bir hata türünün güvenlik fonksiyonunun kaybedilmesine yol açmasını önlemektir.

Uygun standartlar ve tasarım kriterleri

Güvenilirliğin ilk aşamalarından biri, güvenlik açısından önemli yapı, sistem ve bileşenlerin uygun tasarım standartları ve kriterleri kullanılarak tasarlanmasıdır. Standartların amacı yalnızca teknik bir tasarım yöntemi tanımlamak değildir; aynı zamanda ekipmanın beklenen çalışma koşullarında ve öngörülen çevresel etkiler altında gerekli performansı gösterebilmesine yönelik ölçütler oluşturur.

Tasarım kriterleri; mekanik, elektriksel, yapısal, kontrol ve çevresel gereklilikler gibi farklı alanları kapsayabilir. Güvenlik açısından önemli sistemlerde uygulanacak gerekliliklerin kapsamı, sistemin güvenlik fonksiyonundaki önemine uygun olmalıdır.

Çevresel etkilere dayanım

Bir güvenlik sisteminin normal koşullarda güvenilir olması, kaza veya dış tehlike koşullarında da aynı performansı göstereceği anlamına gelmez. Bu nedenle güvenlik açısından önemli ekipmanların maruz kalabileceği deprem, yangın, sıcaklık, basınç, nem, radyasyon ve diğer çevresel etkiler tasarım sırasında dikkate alınmalıdır.

Özellikle dış tehlikeler açısından önemli olan nokta, yalnızca tek bir ekipmanın dayanımının değil, güvenlik fonksiyonunun tamamının değerlendirilebilmesidir. Bir ekipmanın dayanıklı olması ancak onu besleyen veya kontrol eden altyapının aynı olay karşısında işlevini kaybetmesi durumunda tek başına yeterli olmayabilir.

Yedeklilik tek başına yeterli değildir

Güvenilirliği artırmak için birden fazla ekipman kullanılması önemli bir yöntemdir. Ancak yedek ekipmanların aynı tasarım hatasına, aynı çevresel etkiye veya aynı destek sisteminin kaybına karşı ortak bir bağımlılığı varsa, görünürdeki yedeklilik gerçek güvenilirliği beklenen ölçüde artırmayabilir.

Bu nedenle yedeklilik, çeşitlilik ve bağımsızlık birlikte değerlendirilmelidir. Yedek sistemlerin fiziksel olarak ayrılması, farklı enerji kaynaklarına sahip olması veya ortak bir arızadan etkilenmeyecek şekilde düzenlenmesi, yedekliliğin gerçek güvenlik değerini artırabilir.

Tek hata ile ortak nedenli hata arasındaki fark

Güvenilirlik tasarımında tek bir ekipmanın arızalanması ile birden fazla ekipmanın aynı nedenden dolayı birlikte arızalanması birbirinden ayrılmalıdır.

Tek hata, belirli bir ekipmanın veya fonksiyonun arızalanması şeklinde düşünülebilir. Yedeklilik böyle bir durumda güvenlik fonksiyonunun devam ettirilmesine yardımcı olabilir.

Buna karşılık ortak nedenli hata, birden fazla yedek ekipmanı aynı anda etkileyebilen bir nedenin bulunmasıdır. Bu nedenle güvenlik tasarımında yalnızca “kaç tane yedek var?” sorusu değil, “Bu yedekler gerçekten birbirlerinden bağımsız mı?” sorusu da sorulmalıdır.

Güvenilirlik bir tasarım zinciridir

Güvenlik açısından önemli bir sistemin güvenilirliği, tasarımın tek bir aşamasında elde edilen bir özellik değildir. Gereksinimlerin belirlenmesiyle başlayan süreç; tasarım, malzeme ve ekipman seçimi, imalat, montaj, test, devreye alma, işletme, bakım ve periyodik doğrulamalar boyunca devam eder.

Bu nedenle güvenilirlik yaklaşımı yalnızca “iyi ekipman seçmek” şeklinde ele alınmamalıdır. Sistemin yaşam döngüsü boyunca gerekli güvenlik performansını sürdürebilmesi hedeflenmelidir.

Bu yaklaşım, güvenlik tasarımında sistemlerin yalnızca normal çalışma koşullarında değil, arıza ve dış tehlike koşullarında da güvenlik fonksiyonlarını sürdürebilmesini amaçlar. Böylece güvenilirlik, savunma derinliğinin farklı seviyelerini destekleyen temel tasarım unsurlarından biri haline gelir.

14. Tek hata yeterli olmamalıdır

Nükleer güvenlik tasarımında temel düşüncelerden biri, tek bir hata veya arızanın bir güvenlik fonksiyonunun tamamen kaybedilmesine yol açmamasıdır.

Bunun anlamı, herhangi bir ekipmanın veya sistemin hiçbir zaman arızalanmayacağı varsayımı değildir. Tam tersine, güvenlik tasarımı ekipmanların arızalanabileceğini kabul eder ve öngörülebilir tekil arızaların güvenlik açısından kabul edilemez sonuçlara dönüşmesini önleyecek şekilde oluşturulur.

Bu yaklaşım nedeniyle güvenlik açısından önemli bir fonksiyon çoğu zaman tek bir ekipmana, tek bir kanala veya tek bir enerji kaynağına bağımlı bırakılmaz. Ancak burada yalnızca yedeklilik oluşturmak da yeterli değildir. Yedeklerin gerçekten birbirinden bağımsız olması gerekir.

İki sistem her zaman gerçek yedeklilik anlamına gelmez

İlk bakışta aynı güvenlik fonksiyonunu gerçekleştiren iki sistemin bulunması yeterli görünebilir. Fakat bu iki sistem aynı elektrik kaynağına, aynı kontrol altyapısına, aynı fiziksel alana veya aynı yardımcı sisteme bağımlıysa, ortak bir arıza her ikisini de aynı anda etkileyebilir.

Bu durumda sistem sayısı iki olmasına rağmen güvenlik fonksiyonunun kullanılabilirliği gerçekte tek bir ortak noktaya bağımlı olabilir.

Ortak fiziksel ortam da bağımsızlığı etkileyebilir

Bağımsızlık yalnızca elektrik bağlantılarıyla ilgili değildir. Birden fazla güvenlik kanalının aynı fiziksel ortamda bulunması da bazı dış etkiler açısından ortak bir zafiyet oluşturabilir.

Örneğin iki güvenlik kanalının aynı bölgede bulunması durumunda, o bölgeyi etkileyen bir yangın, aşırı sıcaklık veya başka bir çevresel etki her iki kanalı da aynı anda etkileyebilir. Bu nedenle güvenlik tasarımında fiziksel ayrım ve uygun çevresel koruma da bağımsızlığın bir parçası olarak değerlendirilir.

Ortak nedenli hata neden önemlidir?

Tek hata yaklaşımında tek bir bileşenin arızalanması ile birden fazla sistemin aynı nedenle birlikte arızalanması birbirinden ayrılmalıdır.

Bir ekipmanın arızalanması durumunda yedek ekipman güvenlik fonksiyonunu sürdürebiliyorsa, yedeklilik bu arızanın etkisini sınırlar. Ancak aynı tasarım hatası, aynı yazılım hatası, aynı çevresel etki veya aynı destek kaybı birden fazla yedek sistemi aynı anda etkileyebiliyorsa, yedekliliğin beklenen faydası azalır.

Bu durum ortak nedenli hata olarak değerlendirilen durumların neden önemli olduğunu gösterir. Güvenlik tasarımının amacı yalnızca tek tek ekipmanların arızalanmasını tolere etmek değil, mümkün olduğunca birden fazla güvenlik kanalını aynı anda etkileyebilecek ortak nedenleri de kontrol altına almaktır.

Çeşitlilik tek hata yaklaşımını güçlendirir

Çeşitlilik bu noktada önemli bir tamamlayıcı tasarım yaklaşımıdır. Aynı güvenlik fonksiyonunun farklı fiziksel veya teknik prensiplerle gerçekleştirilebilmesi, belirli bir hata mekanizmasının bütün yedekleri aynı anda etkileme olasılığını azaltabilir.

Örneğin bir fonksiyonun gerçekleştirilmesinde aynı teknolojinin tekrar tekrar kullanılmasının yanında, uygun olduğu durumlarda farklı çalışma prensiplerinden yararlanılması ortak hata riskinin azaltılmasına katkı sağlayabilir.

Birden fazla bağımsız yol oluşturmak

Güvenlik tasarımında hedef yalnızca “yedek ekipman” bulundurmak değil, gerektiğinde güvenlik fonksiyonuna ulaşabilecek birden fazla güvenilir yol oluşturmaktır.

Bu yolların enerji kaynakları, kontrol altyapıları, fiziksel yerleşimleri ve gerekli destek sistemleri açısından ne ölçüde bağımsız olduğu değerlendirilir. Böylece tek bir arızanın bütün güvenlik seçeneklerini aynı anda ortadan kaldırması önlenmeye çalışılır.

Tek hata yaklaşımının temel amacı

Tek hata yaklaşımının temelinde basit ancak çok önemli bir düşünce vardır: Güvenlik fonksiyonu tek bir noktaya bağlı olmamalıdır.

Bir ekipmanın arızalanması, bir enerji kaynağının kaybedilmesi veya belirli bir destek hizmetinin devre dışı kalması, uygun şekilde tasarlanmış güvenlik mimarisinde mümkün olduğunca bütün güvenlik fonksiyonunu ortadan kaldırmamalıdır.

Bu nedenle güvenilirlik; yedeklilik, çeşitlilik, bağımsızlık, destek sistemlerinin güvenilirliği ve dış tehlikelere dayanım gibi tasarım prensiplerinin birlikte uygulanmasıyla oluşturulur.

Sonuç olarak nükleer güvenlik tasarımında önemli olan yalnızca yedek sistemlerin bulunması değil, bu yedeklerin gerçekten işe yarayacak şekilde tasarlanmış olmasıdır. Bir sistemin diğerinin yedeği olarak kabul edilebilmesi için, onu etkisiz bırakabilecek ortak bağımlılıkların ve ortak nedenlerin de dikkate alınması gerekir.

15. Fail-safe ve doğal güvenlik özellikleri

Güvenli tasarımın önemli yaklaşımlarından biri, bir ekipmanın veya sistemin arızalanması halinde ortaya çıkan sonucun mümkün olduğunca güvenliği kötüleştirmek yerine daha güvenli veya kontrol edilebilir bir duruma yönelmesini sağlamaktır.

Bu düşünce fail-safe yaklaşımıyla ilişkilidir. Fail-safe tasarımda belirli bir arıza veya enerji kaybı öngörüldüğünde, sistemin davranışı güvenlik açısından değerlendirilir ve uygun durumlarda sistemin daha güvenli bir duruma geçmesi hedeflenir.

Buradaki temel fikir, arızayı tamamen ortadan kaldırmak değildir. Mühendislik açısından bütün ekipmanların arızalanabileceği kabul edilir. Önemli olan, arızanın tesis üzerindeki etkisinin kontrol edilebilir ve güvenlik açısından kabul edilebilir sınırlar içerisinde tutulmasıdır.

Fail-safe ne anlama gelir?

Fail-safe kavramı, belirli bir arıza meydana geldiğinde sistemin önceden belirlenmiş güvenli bir davranış göstermesini ifade eder. Bu davranış sistemin fonksiyonuna bağlı olarak farklı şekillerde ortaya çıkabilir.

Örneğin bir kontrol sinyalinin kaybedilmesi durumunda belirli bir ekipmanın kontrollü biçimde durması, bir enerji kaybı sonrasında bir ekipmanın güvenlik açısından tercih edilen konuma geçmesi veya koruyucu bir fonksiyonun devreye girmesi fail-safe tasarım düşüncesinin örnekleri olabilir.

Basit bir mühendislik örneği

Fail-safe yaklaşımını anlamanın en kolay yollarından biri bir vananın davranışını düşünmektir. Bir vananın enerji veya kontrol sinyali kaybolduğunda açık kalması mı, kapalı kalması mı yoksa başka bir konuma geçmesi mi gerektiği, vananın yerine getirdiği güvenlik fonksiyonuna bağlıdır.

Eğer belirli bir proses koşulunda akışın kesilmesi güvenlik açısından daha uygun ise, enerji kaybı durumunda vananın kapalı konuma geçmesi tercih edilebilir. Başka bir güvenlik fonksiyonunda ise tam tersine akışın devam etmesi daha güvenli olabilir.

Bu nedenle “fail-safe her zaman kapatmak demektir” şeklinde bir yaklaşım doğru değildir. Güvenli durum, sistemin gerçekleştirdiği fonksiyona ve olayın koşullarına göre belirlenir.

Doğal güvenlik özellikleri

Bazı sistemlerde ise güvenlik açısından avantaj sağlayan fiziksel özellikler, aktif bir kontrol müdahalesine ihtiyaç duyulmadan belirli koşullarda kendiliğinden ortaya çıkabilir.

Örneğin bir sistemin sıcaklık veya güç seviyesindeki değişimin, fiziksel mekanizmalar nedeniyle sistemi daha kararlı bir davranışa yönlendirmesi negatif geri besleme olarak değerlendirilebilir.

Negatif geri beslemenin temel özelliği, sistemdeki bir değişimin aynı yöndeki değişimi büyütmek yerine, değişimin etkisini azaltacak yönde bir tepki oluşturabilmesidir.

Pasif özellik ile aktif güvenlik sistemi aynı değildir

Doğal veya pasif bir güvenlik özelliği ile aktif bir güvenlik sistemi arasında önemli bir fark vardır. Aktif sistemler genellikle ölçüm, kontrol, enerji veya mekanik hareket gibi belirli bir müdahaleye ihtiyaç duyarken, pasif özellikler belirli fiziksel koşulların sonucunda kendiliğinden ortaya çıkabilir.

Ancak bir özelliğin “pasif” olması onun otomatik olarak yeterli güvenlik sağladığı anlamına gelmez. Bu özelliğin hangi koşullarda ortaya çıktığı, ne kadar etkili olduğu, hangi sınırlar içerisinde geçerli olduğu ve tasarım güvenlik analizlerinde nasıl dikkate alındığı değerlendirilmelidir.

Fail-safe yaklaşımın sınırları

Fail-safe yaklaşım çok değerli bir güvenlik prensibi olmakla birlikte, bütün güvenlik sorunlarını tek başına çözmez. Bir sistemin belirli bir arızada güvenli konuma geçmesi, daha sonra ortaya çıkabilecek bütün olaylara karşı güvenli olduğu anlamına gelmez.

Bu nedenle fail-safe özellikler; yedeklilik, çeşitlilik, bağımsızlık, güvenilir destek sistemleri, uygun tasarım marjları ve savunma derinliği gibi diğer güvenlik prensipleriyle birlikte değerlendirilir.

Benzer şekilde doğal veya pasif bir güvenlik özelliği, aktif güvenlik sistemlerinin her durumda yerine geçen bağımsız bir çözüm olarak görülmemelidir. Güvenlik tasarımında farklı koruma yöntemlerinin birbirini tamamlaması esastır.

Fail-safe, “hiç arıza olmaz” demek değildir

Fail-safe kavramıyla ilgili en önemli yanlış anlamalardan biri, bunun sistemin arızalanmayacağı anlamına geldiğinin düşünülmesidir. Oysa fail-safe yaklaşım tam tersine, arıza ihtimalini tasarımın bir parçası olarak kabul eder.

Buradaki hedef, arızayı yok etmek değil, belirli bir arızanın meydana gelmesi halinde sistemin güvenlik açısından öngörülebilir bir davranış göstermesini sağlamaktır.

Böylece güvenlik tasarımı yalnızca arızaları tespit eden ve bunlara müdahale eden sistemlerden oluşmaz. Aynı zamanda arızanın sonucunu daha güvenli bir yöne yönlendiren ve bazı fiziksel özelliklerden güvenlik amacıyla yararlanan tasarım çözümlerini de kapsar.

16. İnsan-makine arayüzü de güvenlik tasarımıdır

Nükleer güvenlik tasarımı yalnızca borular, pompalar, vanalar, elektrik sistemleri, yapılar ve otomatik kontrol sistemlerinden oluşmaz. Bu sistemleri izleyen, yöneten ve gerektiğinde müdahale eden insanların doğru bilgiye doğru zamanda ulaşabilmesi ve bu bilgiyi doğru şekilde değerlendirebilmesi de güvenlik tasarımının önemli bir parçasıdır.

Özellikle normal işletmeden farklı koşullarda, operatörün karşı karşıya kaldığı bilgi miktarı ve karar verme ihtiyacı önemli ölçüde artabilir. Bu nedenle kontrol odasının düzenlenmesi, ölçüm bilgilerinin sunulması, alarm yönetimi, kumanda elemanları ve insan-makine arayüzleri yalnızca kullanılabilirlik açısından değil, güvenlik açısından da değerlendirilmelidir.

Temel amaç, insanı sistemden tamamen çıkarmak değildir. Amaç, insanın görevini güvenilir biçimde yerine getirebilmesi için gerekli bilgiyi açık, anlaşılır ve zamanında sağlayan bir çalışma ortamı oluşturmaktır.

Operatöre doğru bilgi sağlamak

Bir güvenlik fonksiyonunun gerektiği şekilde yönetilebilmesi için operatörün tesisin önemli durumlarını yeterli doğrulukta izleyebilmesi gerekir. Basınç, sıcaklık, seviye, akış, güç ve benzeri ölçümlerin yanı sıra ekipmanların çalışma durumları ve önemli alarm bilgileri de operatörün karar verme sürecini destekler.

Burada yalnızca çok sayıda ölçüm bilgisinin bulunması yeterli değildir. Bilginin anlamlı, anlaşılır, güvenilir ve ihtiyaç duyulan zamanda erişilebilir olması önemlidir.

Alarm çokluğu güvenlik anlamına gelmez

Bir tesiste çok sayıda alarm bulunması, operatörün daha iyi bilgilendirildiği anlamına gelmez. Özellikle anormal koşullarda çok sayıda alarmın kısa sürede ortaya çıkması, operatörün hangi bilgilerin öncelikli olduğunu ayırt etmesini zorlaştırabilir.

Bu nedenle alarm sisteminin amacı yalnızca her değişikliği bildirmek değil, operatörün güvenlik açısından önemli durumları zamanında fark etmesini ve uygun müdahaleyi yapmasını desteklemektir.

Örneğin bir ekipmanın arızası sonucunda aynı anda çok sayıda ikincil alarm ortaya çıkıyorsa, operatörün temel olay ile bunun sonucunda oluşan belirtileri birbirinden ayırt edebilmesi önemlidir. Bu tür durumlarda alarm bilgilerinin önceliklendirilmesi ve anlamlı biçimde sunulması karar verme sürecini destekler.

İnsan hatasını tasarımla azaltmak

İnsan hatası, güvenlik tasarımında yalnızca “operatörün dikkatli olması” ile çözülebilecek bir konu olarak görülmemelidir. İnsanların hata yapabileceği kabul edilmeli ve tasarım mümkün olduğunca bu hataların oluşma olasılığını azaltacak şekilde oluşturulmalıdır.

Bunun için kumandaların açık biçimde tanımlanması, kritik işlemlerin uygun şekilde doğrulanması, yanlış işlemlerin mümkün olduğunca engellenmesi ve operatöre gerekli geri bildirimin sağlanması gibi yaklaşımlardan yararlanılabilir.

Buradaki temel düşünce, “Operatör hata yapmamalıdır” demek yerine, “Tasarım operatörün hata yapma olasılığını nasıl azaltabilir?” sorusunu sormaktır.

Otomasyon ile insan arasındaki denge

Güvenlik tasarımında otomasyon önemli bir araçtır. Bazı olaylarda güvenlik fonksiyonlarının çok kısa sürede gerçekleştirilmesi gerekebileceğinden, otomatik koruma ve kontrol fonksiyonları operatör müdahalesinden daha hızlı tepki verebilir.

Ancak otomasyonun varlığı insanın sistemdeki rolünü tamamen ortadan kaldırmaz. Operatörün sistemin durumunu izleyebilmesi, otomatik sistemlerin çalışıp çalışmadığını anlayabilmesi ve gerektiğinde uygun kararları verebilmesi için yeterli bilgiye sahip olması gerekir.

Bu nedenle güvenli tasarımda hedef, insan ile otomasyonun birbirinin alternatifi olarak görülmesi değil, birbirini tamamlayan unsurlar olarak tasarlanmasıdır.

Otomatik koruma ve interlock örneği

Basit bir örnek olarak, belirli bir proses parametresinin kabul edilen sınırların dışına çıkması halinde koruyucu bir işlemin otomatik olarak başlatıldığını düşünelim. Böyle bir tasarım, operatörün olayı fark etmesini beklemeden güvenlik açısından gerekli ilk tepkinin verilmesini sağlayabilir.

Bunun yanında bir ekipmanın belirli bir koşul sağlanmadan çalıştırılmasının engellenmesi de bir interlock örneğidir. Böylece normalde operatör tarafından gerçekleştirilecek bir kontrol, uygun bir tasarım mantığıyla sistem tarafından da güvence altına alınabilir.

Kontrol odasının kullanılabilirliği

İnsan-makine arayüzü yalnızca ekran tasarımından ibaret değildir. Kontrol odasının fiziksel düzeni, çalışma koşulları, ekipmanların yerleşimi, bilgi kaynaklarının erişilebilirliği ve operatörün görevini sürdürebilmesini sağlayan çalışma ortamı da dikkate alınmalıdır.

Özellikle anormal veya kaza koşullarında operatörün dikkatini dağıtabilecek unsurların azaltılması ve güvenlik açısından önemli bilgilere erişimin sürdürülebilmesi önem taşır.

İnsan-makine arayüzü savunma derinliğinin parçasıdır

Savunma derinliğinin farklı seviyelerinde otomatik sistemler önemli rol oynasa da insan faktörü bütün seviyelerden bağımsız değildir. Olayın erken fark edilmesi, sistem durumunun değerlendirilmesi, gerekli manuel işlemlerin gerçekleştirilmesi ve otomatik güvenlik sistemlerinin durumunun izlenmesi gibi görevler insan-makine etkileşimini gerektirebilir.

Bu nedenle insan-makine arayüzü, güvenlik sistemlerinden ayrı ve yalnızca işletme kolaylığı sağlayan bir unsur olarak görülmemelidir. Operatörün güvenlik fonksiyonlarını doğru biçimde izlemesini ve gerektiğinde yerine getirmesini sağlayan arayüzün kendisi de güvenlik tasarımının bir parçasıdır.

Sonuç olarak güvenlik tasarımı yalnızca fiziksel ekipmanların arızalanmasını önlemeye yönelik değildir. İnsanların bu sistemleri nasıl izleyeceği, nasıl yöneteceği ve gerektiğinde nasıl müdahale edeceği de tasarımın başlangıcından itibaren dikkate alınmalıdır.

17. Tasarım marjı: belirsizliğe karşı mühendislik payı

Mühendislik hesaplarında hiçbir fiziksel parametrenin sonsuz kesinlikle bilindiği varsayılamaz. Malzeme özellikleri, yükler, sıcaklıklar, basınçlar, çevre koşulları, ölçüm değerleri, model varsayımları ve ekipman performansları belirli belirsizlikler içerir.

Ayrıca gerçek bir olayın gelişimi, hesaplamalarda kullanılan idealize edilmiş modelden farklı olabilir. Bu nedenle güvenlik tasarımında yalnızca “beklenen değer” üzerinden hareket edilmez. Belirsizliklerin ve beklenenden daha ağır koşulların sistem üzerindeki etkileri de değerlendirilir.

Bu yaklaşımın temel araçlarından biri tasarım marjıdır. Tasarım marjı, sistemin güvenlik açısından önemli bir sınır değere ulaşmadan önce belirli bir mühendislik payına sahip olmasını ve tasarımın belirsizlikler karşısında yeterli dayanıklılığı korumasını amaçlar.

Beklenen koşul ile tasarım koşulu arasındaki fark

Bir ekipmanın normal işletme koşullarında belirli bir sıcaklık, basınç veya yük altında çalışması beklenebilir. Ancak güvenlik tasarımında yalnızca bu normal çalışma değeri dikkate alınmaz. Ekipmanın karşılaşabileceği daha ağır çalışma koşulları ve tasarım açısından önemli olaylar da değerlendirilir.

Örneğin bir ekipmanın normal çalışma sıcaklığı belirli bir değerde olabilir. Tasarım sırasında ise yalnızca bu sıcaklıkta güvenilir çalışıp çalışmadığına değil, güvenlik açısından önemli koşullarda karşılaşabileceği daha yüksek sıcaklıkların ekipmanın performansını nasıl etkileyebileceğine de bakılır.

Böylece güvenlik açısından önemli ekipmanların çalışma sınırları ile normal işletme koşulları arasında uygun bir güvenlik payı oluşturulmuş olur.

Muhafazakâr tasarım yaklaşımı

Nükleer güvenlik değerlendirmelerinde bazı durumlarda muhafazakâr varsayımlar kullanılabilir. Bunun amacı, belirsizliklerin güvenlik açısından olumlu sonuç verecek şekilde varsayılmasına dayanmak yerine, değerlendirmeyi güvenlik açısından daha ihtiyatlı bir çerçevede gerçekleştirmektir.

Örneğin bir güvenlik analizinde belirli bir olayın sonuçlarını değerlendirirken, ekipman performansının ideal koşullarda gerçekleştiği varsayılmak yerine, uygun şekilde belirlenmiş daha olumsuz koşullar dikkate alınabilir.

Böylece güvenlik değerlendirmesinin sonucu yalnızca “en iyi durumda ne olur?” sorusuna değil, “makul ölçüde olumsuz varsayımlar altında güvenlik fonksiyonu hâlâ yeterli mi?” sorusuna da cevap verebilir.

Tasarım marjı ile muhafazakârlık aynı şey değildir

Tasarım marjı ile muhafazakâr analiz birbiriyle ilişkili olmakla birlikte aynı kavram değildir. Tasarım marjı, sistemin belirli sınırlar içerisinde yeterli performans gösterebilmesi için tasarımda bırakılan mühendislik payını ifade eder.

Muhafazakâr yaklaşım ise güvenlik değerlendirmesinde belirsizliklerin sonuçlarını küçümsememek amacıyla uygun ve ihtiyatlı varsayımların kullanılmasını ifade eder.

Her iki yaklaşımın ortak amacı, belirsizliklerin güvenlik kararlarını zayıflatmasını önlemektir.

Basit bir örnek: taşıma kapasitesi

Bir yapının belirli bir yükü taşıması gerektiğini düşünelim. Eğer yapı tam olarak bu yük değerine göre tasarlanırsa, malzeme özelliklerindeki farklılıklar, hesap belirsizlikleri veya gerçek yükün beklenenden biraz daha yüksek olması tasarım açısından sorun oluşturabilir.

Bunun yerine uygun güvenlik kriterleri ve hesap yöntemleri kullanılarak yapının gerekli yükün üzerinde bir kapasiteye sahip olması sağlanabilir. Böylece beklenen yük ile tasarım kapasitesi arasında bir mühendislik payı oluşturulur.

Nükleer güvenlik tasarımında da benzer bir düşünce daha karmaşık mühendislik sistemlerine uygulanır. Ancak gerçek tasarım marjlarının belirlenmesi; ilgili güvenlik kriterlerine, analiz yöntemlerine, ekipman özelliklerine ve tesisin tasarımına bağlıdır.

Güvenlik marjı yalnızca ekipman dayanımı değildir

Tasarım marjı yalnızca bir ekipmanın fiziksel olarak kırılmadan veya bozulmadan dayanabileceği sınırla ilgili değildir. Güvenlik fonksiyonunun gerçekleştirilebilmesi için gereken performansın korunması da önemlidir.

Örneğin bir sistemin mekanik olarak sağlam kalması, tek başına güvenlik fonksiyonunun yerine getirileceğini garanti etmez. Elektrik enerjisi, ölçüm, kontrol, soğutma veya başka bir destek fonksiyonunun kaybedilmesi durumunda sistemin güvenlik performansı etkilenebilir.

Bu nedenle tasarım marjları mümkün olduğunca güvenlik fonksiyonunun bütünü açısından değerlendirilmelidir.

Belirsizliklerin kaynağı nedir?

Güvenlik tasarımında dikkate alınması gereken belirsizlikler farklı kaynaklardan ortaya çıkabilir. Bunlar arasında fiziksel özelliklerin tam olarak bilinememesi, ölçüm belirsizlikleri, modelleme yaklaşımları, hesaplama yöntemleri, üretim toleransları, ekipman performansındaki değişimler ve olay koşullarının tam olarak öngörülememesi sayılabilir.

Bu nedenle güvenlik değerlendirmesi yalnızca tek bir “en doğru” değeri bulmaya çalışmakla sınırlı değildir. Belirsizliğin güvenlik kararını nasıl etkileyebileceği de değerlendirilmelidir.

Tasarım marjı savunma derinliğini destekler

Tasarım marjı, savunma derinliğinin ayrı bir seviyesi değildir. Bunun yerine savunma derinliğinin farklı seviyelerinde kullanılan sistemlerin güvenilirliğini destekleyen bir tasarım prensibidir.

Birinci seviyede olayların meydana gelmesini önleyen sistemlerin, ikinci seviyede anormallikleri sınırlayan sistemlerin ve daha sonraki seviyelerde kazaların sonuçlarını azaltan güvenlik sistemlerinin uygun tasarım marjlarına sahip olması, güvenlik mimarisinin bütünlüğüne katkı sağlar.

Böylece savunma derinliği yalnızca birbirinden bağımsız koruma katmanlarının oluşturulmasıyla değil, her katmanın kendi tasarım sınırları içerisinde yeterli güvenlik payına sahip olmasıyla da güçlendirilir.

Sonuç olarak tasarım marjı, nükleer güvenlik tasarımının belirsizlik karşısındaki mühendislik yaklaşımını temsil eder. Yedeklilik arızaya, bağımsızlık ortak etkilere, fail-safe yaklaşım arıza sonrasındaki davranışa karşı koruma sağlarken; tasarım marjı da belirsizlikler ve beklenenden daha ağır koşullar karşısında güvenlik performansının korunmasına katkıda bulunur.

18. Güvenlik tasarımında deprem

Nükleer tesislerin tasarımında dış tehlikeler arasında deprem özel bir yere sahiptir. Bunun nedeni yalnızca tesis yapılarının deprem sırasında ayakta kalması değildir. Asıl güvenlik sorusu, deprem sırasında ve deprem sonrasında güvenlik açısından gerekli fonksiyonların sürdürülebilip sürdürülemeyeceğidir.

Bir deprem aynı anda çok sayıda yapıyı, sistemi ve ekipmanı etkileyebilir. Bu nedenle sismik güvenlik yalnızca tek tek ekipmanların dayanımının incelenmesiyle sınırlı değildir. Yapıların, güvenlik sistemlerinin, destek sistemlerinin, enerji kaynaklarının, kontrol ve ölçüm altyapısının aynı deprem karşısında birlikte nasıl davranacağı değerlendirilmelidir.

Bu yaklaşım, önceki bölümlerde ele aldığımız bağımsızlık ve ortak nedenli hata kavramlarıyla da doğrudan ilişkilidir. Eğer birden fazla güvenlik sistemi aynı fiziksel yapı, aynı destek altyapısı veya aynı enerji sistemine bağımlıysa, tek bir deprem bu sistemlerin birden fazlasını aynı anda etkileyebilir.

Sismik tehlikenin belirlenmesi

Sismik tasarımın ilk aşamalarından biri, tesis sahasının karşı karşıya kalabileceği deprem tehlikesinin belirlenmesidir. Bunun için yalnızca tesisin yakınındaki depremler değil, daha geniş bölgedeki jeolojik ve sismolojik koşullar da değerlendirilir.

Saha değerlendirmesinde bölgesel ve yerel sismisite, jeolojik yapı, aktif veya potansiyel olarak önemli faylar, zemin özellikleri ve beklenen yer hareketleri gibi farklı veri grupları birlikte ele alınır.

IAEA'nın SSG-9 Rev.1 rehberi de nükleer tesis sahalarında sismik tehlikenin değerlendirilmesinde bölgesel, yakın bölge ve saha ölçeğinde jeolojik, jeofizik, jeoteknik ve sismolojik verilerin kullanılmasını ele almaktadır.

Deprem karşısında yalnızca yapı korunmaz

Bir yapının deprem sonrasında fiziksel olarak ayakta kalması, içindeki bütün güvenlik sistemlerinin de kullanılabilir olduğu anlamına gelmez. Ekipmanların, boru hatlarının, kabloların, elektrik sistemlerinin, ölçüm cihazlarının ve kontrol sistemlerinin de gerekli güvenlik fonksiyonlarını sürdürebilmesi gerekir.

Bu nedenle sismik tasarımda yapısal güvenlik ile fonksiyonel güvenlik birlikte düşünülmelidir. Yapının hasar görmemesi önemli olmakla birlikte, güvenlik açısından gerekli ekipmanın deprem sonrasında çalışabilir durumda kalması da aynı derecede önem taşıyabilir.

Basit bir örnek

Bir güvenlik fonksiyonunun gerçekleştirilmesi için gerekli bir pompanın deprem dayanımı yeterli olabilir. Ancak pompayı besleyen elektrik kabloları, kontrol sistemi veya gerekli yardımcı sistemler aynı deprem nedeniyle kullanılamaz hale gelirse, pompanın kendi başına sağlam kalmasının güvenlik açısından beklenen sonucu sağlaması mümkün olmayabilir.

Bu nedenle sismik değerlendirmede yalnızca “Pompa depremde ayakta kalır mı?” sorusu değil, “Pompanın güvenlik fonksiyonunu gerçekleştirmesi için gerekli bütün zincir deprem sonrasında çalışabilir durumda mı?” sorusu sorulmalıdır.

Yedeklilik ve bağımsızlık açısından deprem

Deprem, yedeklilik kavramının gerçek anlamının neden önemli olduğunu gösteren iyi bir örnektir. İki güvenlik sisteminin bulunması tek başına yeterli değildir. Eğer her iki sistem aynı deprem etkisinden aynı şekilde etkilenebilecek ortak bir yapıya, ortak enerji kaynağına veya ortak destek sistemine bağımlıysa, yedekliliğin sağladığı koruma beklenenden daha düşük olabilir.

Bu nedenle güvenlik açısından önemli sistemlerin fiziksel ayrımı, bağımsızlığı ve ortak dış tehlikelere karşı dayanımı birlikte değerlendirilmelidir.

Sismik tasarım yalnızca deprem anını kapsamaz

Deprem güvenliği yalnızca sarsıntının devam ettiği birkaç dakikaya indirgenmemelidir. Deprem sonrasında tesisin güvenli duruma getirilmesi, gerekli güvenlik fonksiyonlarının sürdürülmesi ve tesis koşullarının izlenmesi için gerekli sistemlerin kullanılabilir durumda kalması da önemlidir.

Bu nedenle sismik tasarım yaklaşımı, “deprem sırasında ne olur?” sorusunun yanında “depremden hemen sonra güvenliği sürdürmek için hangi fonksiyonlara ihtiyaç vardır?” sorusunu da kapsar.

Elektrik ve destek sistemlerinin sismik dayanımı

Güvenlik açısından önemli sistemlerin çalışması çoğu zaman elektrik enerjisine ve çeşitli yardımcı hizmetlere bağlıdır. Bu nedenle sismik değerlendirme yalnızca ana güvenlik ekipmanlarını değil, onları destekleyen elektrik dağıtım sistemleri, kontrol altyapısı ve diğer gerekli yardımcı sistemleri de kapsamalıdır.

Buradaki amaç, deprem sonrasında güvenlik fonksiyonunun ihtiyaç duyduğu bütün destek zincirinin mümkün olduğunca kullanılabilir kalmasını sağlamaktır.

Sismik tasarımın diğer dış tehlikelerle ilişkisi

Deprem tek başına değerlendirilebileceği gibi, deprem sonucunda ortaya çıkabilecek ikincil etkiler de güvenlik açısından önem taşıyabilir. Örneğin yangın, ekipman hasarı, enerji kaybı veya bazı yardımcı sistemlerin devre dışı kalması gibi sonuçlar güvenlik fonksiyonlarını etkileyebilir.

Bu nedenle dış tehlike değerlendirmesinde yalnızca başlangıç olayına değil, başlangıç olayının tesis üzerinde oluşturabileceği zincirleme etkilere de bakılması gerekir.

Tasarım marjı ve deprem

17. bölümde ele aldığımız tasarım marjı yaklaşımı sismik tasarımda da önemlidir. Deprem tehlikesinin belirlenmesi sırasında kullanılan verilerde ve hesaplama yöntemlerinde belirsizlikler bulunabileceğinden, güvenlik açısından önemli yapı ve ekipmanların yalnızca en iyimser koşullara göre tasarlanmaması gerekir.

Uygun güvenlik kriterleri ve analiz yöntemleri kullanılarak tesisin sismik güvenlik açısından yeterli tasarım payına sahip olması hedeflenir.

Sonuç olarak deprem, savunma derinliğinin farklı seviyelerini aynı anda sınayabilen önemli bir dış tehlikedir. Güvenlik tasarımının başarısı, yalnızca yapıların fiziksel olarak ayakta kalmasına değil, güvenlik fonksiyonlarının deprem sonrasında da gerçekleştirilebilir durumda tutulmasına bağlıdır.

19. Tasarım depremi nasıl düşünülmelidir?

Bir nükleer tesis için deprem tasarımının temelinde, “Bu sahada meydana gelebilecek yer hareketi mühendislik açısından nasıl karakterize edilmelidir?” sorusu bulunur.

Burada amaç yalnızca geçmişte meydana gelmiş belirli bir depremi seçip tesis tasarımının temeli olarak kullanmak değildir. Asıl amaç, sahanın ve çevresindeki sismik kaynakların özellikleri dikkate alınarak, tesisin güvenliği açısından değerlendirilmesi gereken yer hareketlerinin uygun biçimde tanımlanmasıdır.

Bu nedenle tasarım depremi, tek başına “kaç büyüklüğünde deprem olacak?” sorusuyla ifade edilen basit bir sayı değildir. Depremin büyüklüğü kadar, sahanın konumu, sismik kaynağın özellikleri, uzaklık, zemin koşulları ve yer hareketinin tesiste oluşturabileceği etkiler de önem taşır.

Geçmiş depremler neden tek başına yeterli değildir?

Bir bölgede geçmişte meydana gelmiş depremlerin incelenmesi sismik tehlikenin anlaşılması açısından önemli bir veri kaynağıdır. Ancak geçmiş kayıtların bulunmaması, gelecekte benzer bir depremin meydana gelemeyeceği anlamına gelmez.

Benzer şekilde yalnızca kayıtlardaki en büyük depreme bakmak da yeterli değildir. Sismik tehlikenin değerlendirilmesinde bölgenin jeolojik yapısı, faylanma özellikleri, tarihsel ve aletsel deprem kayıtları, sismisite ve saha koşulları birlikte ele alınmalıdır.

Böylece tasarım yaklaşımı yalnızca “geçmişte ne oldu?” sorusuna değil, “Bu sahanın jeolojik ve sismolojik özellikleri gelecekte hangi tür yer hareketlerinin oluşabileceğine işaret ediyor?” sorusuna da cevap arar.

Depremin büyüklüğü tek başına yeterli değildir

Deprem tasarımında sık yapılan bir hata, depremi yalnızca büyüklüğü ile tanımlamaktır. Oysa bir depremin tesis sahasında oluşturacağı hareket, yalnızca depremin büyüklüğüne bağlı değildir.

Deprem kaynağının özellikleri, saha ile kaynak arasındaki koşullar ve zeminin yer hareketine verdiği tepki, tesis sahasında oluşabilecek hareketin karakterini etkileyebilir.

Bu nedenle mühendislik açısından önemli olan, deprem kaynağından tesis sahasına ulaşan yer hareketinin özelliklerinin belirlenmesidir.

Saha ölçeğine geçiş

Bölgesel sismik tehlikenin belirlenmesinden sonra değerlendirme giderek tesis sahasına özgü hale gelir. Çünkü aynı bölge içerisinde bulunan farklı sahalar, zemin ve jeolojik koşullar nedeniyle aynı depremden aynı şekilde etkilenmeyebilir.

Bu nedenle saha karakterizasyonunda jeolojik, jeofizik, jeoteknik ve sismolojik veriler birlikte değerlendirilir. Amaç, tasarımda kullanılacak yer hareketinin saha koşullarını mümkün olduğunca doğru yansıtmasını sağlamaktır.

Yatay ve düşey yer hareketleri

Deprem sırasında zemin yalnızca yatay yönde hareket etmez. Düşey yer hareketi de yapıların ve ekipmanların davranışı açısından önem taşıyabilir.

Bu nedenle sismik tasarımda güvenlik açısından önemli yapı ve ekipmanların maruz kalabileceği hem yatay hem de düşey yer hareketlerinin uygun şekilde tanımlanması gerekir.

Kaynak seminerde de temel deprem yer hareketinin belirlenmesinde bölgenin jeolojisi ve sismisitesinin dikkate alınması ve sahaya ilişkin yatay ve düşey yer hareketlerinin tanımlanması ele alınmaktadır.

Basit bir örnek

Aynı büyüklükte iki depremin iki farklı tesis sahasında farklı etkiler oluşturabileceğini düşünelim. Deprem kaynaklarının özellikleri ve sahaların zemin koşulları farklıysa, tesislerde hissedilecek yer hareketlerinin özellikleri de farklı olabilir.

Bu nedenle mühendislik tasarımında yalnızca “Deprem kaç büyüklüğünde?” sorusunun cevaplanması yeterli değildir. Asıl soru, “Bu deprem veya sismik kaynak, bu sahada nasıl bir yer hareketi oluşturabilir?” şeklindedir.

Belirsizlikler neden dikkate alınmalıdır?

Sismik tehlikenin belirlenmesinde kullanılan verilerin tamamı aynı kesinlik düzeyine sahip değildir. Deprem kayıtlarının sınırlı olması, sismik kaynakların özelliklerine ilişkin belirsizlikler ve saha koşullarının modellenmesi gibi konular değerlendirmede belirsizlik oluşturabilir.

Bu nedenle 17. bölümde ele aldığımız tasarım marjı ve belirsizlik yönetimi sismik tasarım açısından da önem taşır. Amaç, sismik tehlikenin kesin olarak tahmin edildiği varsayımına dayanmak yerine, mevcut bilgi ve belirsizlikleri güvenlik değerlendirmesine uygun şekilde yansıtmaktır.

Tasarım yer hareketi ile güvenlik fonksiyonları arasındaki ilişki

Belirlenen tasarım yer hareketi, daha sonra güvenlik açısından önemli yapı, sistem ve bileşenlerin değerlendirilmesinde kullanılır. Burada temel soru, deprem etkisi altında bu yapı ve ekipmanların gerekli güvenlik fonksiyonlarını sürdürebilip sürdüremeyeceğidir.

Böylece sismik tehlike değerlendirmesi ile güvenlik tasarımı arasında doğrudan bir bağlantı kurulmuş olur: sismik tehlike → tasarım yer hareketi → yapı ve ekipmanların sismik tasarımı → güvenlik fonksiyonlarının sürdürülebilmesi.

Sonuç olarak tasarım depremi yaklaşımının amacı, gelecekte meydana gelecek tek bir depremi kesin olarak tahmin etmek değildir. Amaç, tesis sahasının sismik tehlikesini güvenlik tasarımında kullanılabilecek mühendislik parametrelerine dönüştürmek ve güvenlik açısından önemli yapı, sistem ve bileşenlerin bu koşullar altında gerekli işlevleri sürdürebilmesini sağlamaktır.

20. “Tasarım depreminden daha büyük deprem olamaz” denmez

Modern nükleer güvenlik yaklaşımında tasarım için belirlenen bir deprem seviyesinin, doğanın ulaşabileceği mutlak üst sınır olduğu varsayılmaz. Tasarım depremi, doğanın koyduğu kesin bir sınır değil; güvenlik tasarımında esas alınan mühendislik temelli bir referanstır.

Bunun önemli bir sonucu vardır: Tasarım için belirlenen temel yer hareketinin aşılması olasılığı tamamen yok sayılamaz. Deprem tehlikesinin değerlendirilmesinde her zaman belirli belirsizlikler bulunabileceği gibi, daha ağır bir yer hareketinin meydana gelme olasılığı da sıfır değildir.

Kaynak materyalin önemli noktalarından biri de budur: temel tasarım yer hareketinin aşılabileceği ihtimali ve bunun oluşturduğu artık risk dikkate alınmalıdır.

Tasarım seviyesi neden “mutlak sınır” değildir?

Deprem gibi doğal olaylar için gelecekte meydana gelecek olayın büyüklüğünü ve bütün özelliklerini kesin olarak önceden belirlemek mümkün değildir. Sismik tehlike değerlendirmesi mevcut jeolojik, jeofizik ve sismolojik bilgiler kullanılarak yapılır; ancak bu bilgiler belirli belirsizlikler içerir.

Bu nedenle tasarımda belirli bir yer hareketinin esas alınması, “bunun üzerindeki bir hareket gerçekleşemez” şeklinde yorumlanmamalıdır. Daha doğru yaklaşım, belirlenen tasarım seviyesine karşı gerekli güvenlik önlemlerini sağlarken, bu seviyenin aşılma ihtimalini de güvenlik değerlendirmesinin bir parçası olarak kabul etmektir.

Artık risk ne demektir?

“Artık risk”, alınan bütün güvenlik önlemlerinden sonra geriye kalan risk olarak düşünülebilir. Bir tehlikenin tamamen ortadan kaldırılması mümkün değilse, güvenlik yaklaşımının amacı bu riskin kabul edilebilir ve yönetilebilir düzeylerde tutulmasıdır.

Deprem açısından düşünüldüğünde, tesisin belirli bir tasarım yer hareketine göre tasarlanmış olması, daha büyük bir depremin fiziksel olarak imkânsız olduğu anlamına gelmez. Dolayısıyla tasarım seviyesinin aşılmasına ilişkin olasılık ve bunun güvenlik üzerindeki olası sonuçları ayrıca değerlendirilir.

Bu yaklaşım savunma derinliğiyle neden ilişkilidir?

Tasarım seviyesinin aşılabileceğinin kabul edilmesi, savunma derinliği yaklaşımının temel düşüncesiyle uyumludur. Güvenlik, yalnızca tek bir koruma önleminin kusursuz çalışmasına dayandırılmaz.

İlk tasarım seviyesinin ötesinde bir olayın ortaya çıkması ihtimali bulunduğunda, daha ileri güvenlik katmanlarının ve kaza sonuçlarını sınırlamaya yönelik önlemlerin önemi artar.

Böylece güvenlik yaklaşımı, “Bu olayın gerçekleşmesi mümkün değildir” varsayımından ziyade, “Bu olay gerçekleşirse hangi güvenlik fonksiyonları hâlâ kullanılabilir ve sonuçlar nasıl sınırlandırılabilir?” sorusuna yönelir.

18, 19 ve 20. bölümlerin bağlantısı

Önceki bölümlerde deprem bir dış tehlike olarak ele edilmiş, daha sonra bu tehlikenin saha açısından nasıl karakterize edileceği ve tasarım yer hareketinin nasıl belirleneceği açıklanmıştır.

Bu bölüm ise bu sürecin önemli bir sınırını ortaya koyar: belirlenen tasarım yer hareketi, doğanın ulaşabileceği mutlak üst sınır değildir.

Dolayısıyla güvenlik yaklaşımı üç aşamada düşünülebilir:

• Sahanın karşı karşıya olduğu sismik tehlike belirlenir.
• Güvenlik tasarımında kullanılacak tasarım yer hareketleri tanımlanır ve buna göre gerekli yapı, sistem ve bileşenler tasarlanır.
• Tasarım seviyesinin aşılması ihtimali ve bunun oluşturabileceği artık risk de güvenlik değerlendirmesine dahil edilir.

Daha büyük bir olayın sonuçları neden önemlidir?

Tasarım seviyesinin aşılması durumunda yalnızca yapıların fiziksel dayanımı değil, güvenlik fonksiyonlarının ne ölçüde sürdürülebileceği de önem kazanır.

Örneğin daha ağır bir deprem; güvenlik açısından önemli ekipmanları, elektrik kaynaklarını, destek sistemlerini veya kontrol ve ölçüm altyapısını etkileyebilir. Bu nedenle değerlendirme yalnızca “Yapı hasar görür mü?” sorusuyla sınırlı olmamalıdır.

Bunun yanında “Güvenlik fonksiyonlarının ne kadarı sürdürülebilir?” ve “Tesisin durumunu kontrol altında tutmak için hangi koruma yolları mevcut?” soruları da önem taşır.

Tasarım marjı ile artık risk aynı şey değildir

Tasarım marjı ile artık riskin birbirinden ayrılması gerekir. Tasarım marjı, belirli tasarım koşulları içerisinde sistemin yeterli performans göstermesi için bırakılan mühendislik payıdır.

Artık risk ise bütün önlemler alındıktan sonra dahi tamamen ortadan kaldırılamayan riskin varlığıyla ilgilidir.

Dolayısıyla büyük bir tasarım marjı bırakılması, tasarım seviyesinin üzerindeki olayların tamamen imkânsız olduğu anlamına gelmez. Benzer şekilde, daha ağır olayların mümkün olduğunun kabul edilmesi de tasarım seviyesine karşı gerekli mühendislik önlemlerinin gereksiz olduğu anlamına gelmez.

Sonuç olarak “tasarım depreminden daha büyük deprem olamaz” demek yerine, daha doğru mühendislik yaklaşımı “belirlenen tasarım yer hareketine karşı gerekli güvenlik sağlanırken, bunun aşılma ihtimali ve oluşturabileceği artık risk de dikkate alınmalıdır” şeklindedir. Bu yaklaşım, nükleer güvenlikte belirsizliklerin kabul edilmesi ve bunların savunma derinliği ile yönetilmesi anlayışının önemli bir parçasıdır.

21. Deprem yalnızca deprem değildir

Büyük bir deprem, tesis üzerinde yalnızca doğrudan yer hareketi oluşturmaz. Deprem, bulunduğu saha ve çevrenin özelliklerine bağlı olarak başka fiziksel olayları da tetikleyebilen bir başlangıç olayı haline gelebilir.

Bu nedenle nükleer güvenlik açısından deprem değerlendirmesi yalnızca yapıların sarsıntıya dayanımı ile sınırlı tutulamaz. Depremin zeminde, yamaçlarda, su yapılarında ve tesisin çevresindeki diğer fiziksel koşullarda oluşturabileceği değişimler de dikkate alınmalıdır.

Buradaki temel soru, “Deprem ne kadar büyük?” sorusundan daha geniştir: “Bu deprem sahada başka hangi tehlikeleri tetikleyebilir ve bu tehlikeler güvenlik fonksiyonlarını nasıl etkileyebilir?”

İkincil tehlikeler neden önemlidir?

Bir deprem doğrudan güvenlik açısından önemli bir ekipmana zarar vermese bile, oluşturduğu ikincil bir olay aynı güvenlik fonksiyonunu dolaylı olarak etkileyebilir.

Örneğin zemindeki değişim bir yapının veya ekipmanın konumunu etkileyebilir; bir şev hareketi ulaşım veya yardımcı altyapıyı etkileyebilir; sismik olarak tetiklenen bir taşkın ise tesisin belirli bölümlerine su ulaşmasına neden olabilir.

Bu nedenle dış tehlike değerlendirmesinde başlangıç olayının kendisi kadar, başlangıç olayının tetikleyebileceği ikincil olayların güvenlik üzerindeki etkileri de incelenmelidir.

Zemin yalnızca “taşıyıcı ortam” değildir

Bir tesis sahasının zemini çoğu zaman yalnızca yapıları taşıyan pasif bir unsur gibi düşünülebilir. Oysa deprem sırasında zemin davranışı, yapıların ve ekipmanların maruz kalacağı hareketleri ve bazı durumlarda tesisin genel güvenliğini doğrudan etkileyebilir.

Bu nedenle saha değerlendirmesinde zemin özellikleri, olası oturma veya deformasyonlar ve uygun koşullarda sıvılaşma gibi zemin kaynaklı tehlikeler dikkate alınmalıdır.

Buradaki amaç yalnızca zeminin deprem sırasında “dayanıp dayanmayacağını” belirlemek değildir. Zeminin davranışının yapıların, ekipmanların ve güvenlik fonksiyonlarının performansını nasıl etkileyebileceği de değerlendirilir.

Şev hareketleri ve heyelan benzeri etkiler

Eğimin bulunduğu sahalarda deprem, zemin veya kaya kütlelerinin stabilitesini etkileyebilir. Bu nedenle tesis sahasının çevresindeki eğimler ve şevler de sismik tehlike değerlendirmesinin bir parçası olabilir.

Şev hareketinin güvenlik açısından önemi, yalnızca doğrudan bir yapıya zarar verip vermemesiyle değerlendirilmemelidir. Bir yolun kapanması, yardımcı altyapının etkilenmesi veya bir güvenlik fonksiyonunu destekleyen sistemin kullanılabilirliğinin azalması gibi dolaylı etkiler de önem taşıyabilir.

Tsunami neden ayrıca değerlendirilir?

Kıyı bölgelerinde deprem kaynaklı tehlikeler arasında tsunami de dikkate alınması gereken bir olay olabilir. Tsunami, doğrudan deprem sarsıntısından farklı bir fiziksel mekanizmayla tesis sahasında su seviyesinin ve su hareketlerinin değişmesine neden olabilir.

Bu nedenle tsunami değerlendirmesinde yalnızca depremin kendisi değil, uygun sismik kaynakların deniz ortamında oluşturabileceği etkiler ve bu etkilerin tesis sahasına ulaşma olasılığı da değerlendirilir.

Kaynak materyalde de depremle birlikte meydana gelebilecek şev hareketleri ve tsunami gibi olayların güvenlik fonksiyonlarını ciddi biçimde etkilememesi gerektiği özellikle vurgulanmaktadır.

Deprem → ikincil olay → güvenlik fonksiyonu

Dış tehlike analizini anlamanın yararlı yollarından biri, olayları bir zincir halinde düşünmektir:

Örneğin deprem bir zemin hareketini tetikleyebilir; zemin hareketi bir yapıyı veya yardımcı altyapıyı etkileyebilir; bunun sonucunda bir destek sistemi kullanılabilirliğini kaybedebilir ve nihayetinde desteklenen güvenlik fonksiyonunun performansı etkilenebilir.

Bu zincirin her halkasının mutlaka gerçekleşeceği anlamına gelmez. Ama güvenlik değerlendirmesinin amacı, makul biçimde öngörülebilecek bu tür bağlantıları önceden ortaya çıkarmaktır.

Birden fazla tehlike aynı anda ortaya çıkabilir

Daha karmaşık durumlarda deprem yalnızca bir ikincil olayı değil, birden fazla olayı aynı anda tetikleyebilir. Bu durumda güvenlik açısından önemli sistemlerin birbirinden bağımsızlığı daha da önem kazanır.

Örneğin deprem ile birlikte enerji kaybı, ekipman hasarı veya taşkın gibi farklı etkilerin ortaya çıkması mümkündür. Bu tür durumlarda güvenlik değerlendirmesi, olayları tamamen birbirinden bağımsız kabul etmek yerine birlikte oluşturabilecekleri toplam etkiyi de dikkate almalıdır.

Kaynak yaklaşımındaki ikincil etkiler

IAEA'nın saha değerlendirme yaklaşımı, sismik tehlikenin yanı sıra uygun saha koşullarında ortaya çıkabilecek sıvılaşma, şev kararsızlığı, oturma, zemin çökmesi ve sismik olarak tetiklenen taşkınlar gibi ikincil etkilerin değerlendirilmesini de kapsamaktadır.

Bu yaklaşım, deprem güvenliğinin yalnızca yapıların sarsıntıya karşı dayanımı şeklinde ele alınamayacağını; saha ile tesis arasındaki fiziksel etkileşimin de güvenlik analizinin bir parçası olduğunu göstermektedir.

Sonuç olarak nükleer güvenlik tasarımında dış tehlikeler tek tek ve birbirinden tamamen bağımsız olaylar olarak düşünülmemelidir. Bir başlangıç olayının başka olayları tetikleyebileceği ve bu olayların güvenlik fonksiyonları üzerinde zincirleme etkiler oluşturabileceği tasarım ve güvenlik değerlendirmesinin önemli unsurlarından biridir.

22. Güvenlik tasarımında dış tehlikelerin bütünsel değerlendirilmesi

Nükleer tesislerin güvenlik tasarımı yalnızca tesisin normal çalışma koşullarını veya tek bir tehlikeyi dikkate almaz. Tesisin bulunduğu konumdan ve çevresinden kaynaklanabilecek doğal ve insan kaynaklı dış tehlikeler sistematik olarak değerlendirilir. Amaç, bu tehlikelerin güvenlik açısından önemli yapı, sistem ve ekipmanları etkileyerek gerekli güvenlik fonksiyonlarının kaybedilmesine yol açmasını önlemektir.

Buradaki temel yaklaşım, tehlikeleri yalnızca ayrı ayrı listelemek değildir. Her bir tehlikenin hangi fiziksel etkilere yol açabileceği, hangi yapı ve ekipmanları etkileyebileceği, hangi güvenlik fonksiyonlarını zorlayabileceği ve birden fazla güvenlik katmanını aynı anda devre dışı bırakıp bırakamayacağı değerlendirilir.

Tehlikeden güvenlik fonksiyonuna giden zincir

Dış tehlikelerin değerlendirilmesinde önemli olan, olayın kendisinden başlayarak olası sonuçların güvenlik fonksiyonlarına kadar izlenmesidir. Örneğin bir deprem, yalnızca bir yapıya mekanik yük getiren bir olay olarak görülmemelidir. Aynı olay elektrik beslemesini, boru hatlarını, pompaları, kontrol sistemlerini veya diğer destek sistemlerini de etkileyebilir.

Bu nedenle değerlendirme şu genel zincir üzerinden düşünülebilir:

Tek bir tehlike birden fazla sistemi etkileyebilir

Güvenlik tasarımındaki önemli konulardan biri de ortak nedenli etkilerin dikkate alınmasıdır. Örneğin iki ayrı güvenlik sisteminin bulunması ilk bakışta yüksek bir yedeklilik sağlayabilir. Ancak bu sistemlerin aynı fiziksel ortamda bulunması veya aynı enerji, soğutma, kontrol ya da başka bir destek hizmetine bağımlı olması durumunda tek bir dış olay her ikisini de etkileyebilir.

Benzer şekilde, bir deprem sonrasında yalnızca sismik hasar değil; yangın, su baskını, boru veya ekipman hasarı, elektrik kaybı ya da başka ikincil etkiler de ortaya çıkabilir. Bu nedenle dış tehlikelerin değerlendirilmesi mümkün olduğunca ardışık ve birbirini tetikleyebilen olaylar dikkate alınarak yapılmalıdır.

Bağımsızlık ve fiziksel ayrım neden önemlidir?

Savunma derinliğinin etkin olabilmesi için güvenlik katmanlarının yalnızca farklı sistemlerden oluşması yeterli değildir. Bu katmanların aynı dış etkiden mümkün olduğunca bağımsız kalabilmesi gerekir.

Dış tehlikeler savunma derinliğinin tamamını ilgilendirir

Dış tehlikelerin değerlendirilmesi yalnızca belirli bir güvenlik sisteminin tasarımıyla sınırlı değildir. Bir dış olayın birinci seviyedeki olay önleme önlemlerini, ikinci seviyedeki kontrol ve koruma işlevlerini, üçüncü seviyedeki kaza kontrol sistemlerini ve daha ileri savunma seviyelerini nasıl etkileyebileceği birlikte ele alınır.

Böylece tasarımın temel sorusu yalnızca “Bu tehlikeye karşı tesis dayanıklı mı?” şeklinde olmaz. Daha kapsamlı soru şudur:

Bu yaklaşım, güvenlik tasarımını tek tek ekipmanların dayanımından çıkararak tesis bütününün güvenlik performansına taşır. Dış tehlikelerin değerlendirilmesindeki asıl amaç da budur: öngörülen tehlikeler altında gerekli güvenlik fonksiyonlarının korunması ve tehlikelerin birden fazla koruma katmanını aynı anda etkisiz bırakmasının önlenmesidir.

23. Yangın da savunma derinliğinin bir testidir

Yangın, nükleer tesislerin güvenlik tasarımında önemli bir iç tehlike örneğidir. Yangının güvenlik açısından önemi yalnızca doğrudan oluşturduğu sıcaklık ve alev etkisinden kaynaklanmaz. Yangın; kabloları, elektrik ekipmanlarını, ölçüm ve kontrol sistemlerini, yardımcı sistemleri ve aynı fiziksel bölgede bulunan birden fazla güvenlik ekipmanını aynı anda etkileyebilir.

Bu durum yangını, ortak nedenli arıza açısından özellikle önemli hale getirir. Birbirinden bağımsız olduğu düşünülen iki güvenlik sisteminin kabloları aynı bölgeden geçiyorsa veya aynı yangın ortamına maruz kalıyorsa, tek bir yangın her iki sistemi de etkileyebilir. Böyle bir durumda yalnızca ekipmanların ayrı ayrı güvenilir olması yeterli değildir; yangının güvenlik fonksiyonları arasındaki bağımsızlığı ortadan kaldırıp kaldırmadığı da değerlendirilmelidir.

Yangın neden ortak nedenli arızaya yol açabilir?

Savunma derinliğinde farklı güvenlik sistemlerinin bulunması, sistemlerin her koşulda birbirinden bağımsız olduğu anlamına gelmez. Özellikle kablo güzergâhları bu açıdan kritik olabilir. Aynı yangın bölgesinden geçen farklı güvenlik fonksiyonlarına ait kablolar, yangının tek bir fiziksel bölgede ortaya çıkmasıyla birlikte aynı anda zarar görebilir.

Bu nedenle yangın güvenliği değerlendirmesinde yalnızca “Bu ekipman yangına dayanıklı mı?” sorusu yeterli değildir. Daha kapsamlı olarak;

Kabloların güvenlik açısından önemi

Kablolar, yangın güvenliği açısından özel önem taşır. Çünkü bir güvenlik sistemi fiziksel olarak sağlam kalsa bile, onu besleyen elektrik kabloları veya kontrol ve ölçüm sinyallerini taşıyan kablolar yangından etkilenirse sistem gerekli işlevini yerine getiremeyebilir.

Bu nedenle güvenlik tasarımında yalnızca ana ekipmanın kendisi değil, enerji beslemesi, kontrol sinyalleri, ölçüm kanalları ve bunların fiziksel güzergâhları birlikte değerlendirilir. Böylece güvenlik fonksiyonunun gerçek anlamda korunup korunmadığı ortaya konabilir.

Yangın bölmeleri ve fiziksel ayrım

Yangının bir alandan diğerine yayılmasını sınırlandırmak, savunma derinliğinin önemli unsurlarından biridir. Yangın bölmeleri, yangına dayanıklı yapı elemanları ve uygun fiziksel yerleşim; tek bir yangının daha geniş bir alana yayılmasını sınırlandırmaya yardımcı olur.

Buradaki mühendislik amacı yalnızca yangının yayılmasını engellemek değildir. Aynı zamanda bir yangının birden fazla güvenlik yolunu aynı anda ortadan kaldırmasını önlemektir. Böylece fiziksel ayrım, doğrudan savunma derinliği ve bağımsızlık ilkeleriyle ilişkilendirilir.

Yangın söndürülemese bile güvenlik korunabilir mi?

Güvenlik tasarımının önemli bir yaklaşımı, yangının mutlaka anında ortadan kaldırılacağı varsayımına dayanmamaktır. Yangın tespit edilebilir, kontrol altına alınabilir ve söndürülebilir; ancak tasarım aynı zamanda yangının belirli bir süre devam etmesi veya bazı ekipmanların kullanılamaz hale gelmesi durumunda ortaya çıkabilecek sonuçları da dikkate almalıdır.

Bu yaklaşımda temel hedef, yangının tüm güvenlik mimarisini aynı anda devre dışı bırakmasını önlemektir. Gerekli güvenlik fonksiyonlarının alternatif yollarla sürdürülebilmesi, uygun fiziksel ayrımın bulunması ve tesisin güvenli bir duruma getirilebilmesi bu nedenle önem taşır.

Yangın güvenliğinde savunma derinliği

Yangın açısından savunma derinliği birkaç birbirini tamamlayan katmandan oluşur. Öncelikle yangının ortaya çıkma ihtimali azaltılır. Yangın meydana gelirse erken tespit edilir ve yayılması sınırlandırılır. Yangın kontrol altına alınamazsa, güvenlik açısından önemli yapı, sistem ve ekipmanların üzerindeki etkisi mümkün olduğunca sınırlandırılır. Son olarak, bazı ekipmanların kaybedilmesi durumunda dahi tesisin güvenli duruma getirilebilmesi hedeflenir.

Bu nedenle yangın, nükleer güvenlik tasarımında yalnızca yangınla mücadele ekipmanlarının konusu değildir. Yangın, yedeklilik, çeşitlilik, fiziksel ayrım, bağımsızlık, ortak nedenli arızalar ve güvenlik fonksiyonlarının sürdürülebilirliği gibi tasarım ilkelerinin tamamını birlikte sınayan bir olaydır.

24. Fiziksel bariyerler: radyoaktif maddenin kontrol altında tutulması

Nükleer güvenlik tasarımının temel amaçlarından biri, radyoaktif maddelerin kontrol altında tutulması ve çevreye yayılmasının sınırlandırılmasıdır. Bu amaç yalnızca aktif güvenlik sistemleriyle sağlanmaz. Tesisin tasarımında kullanılan malzemeler, yakıt yapısı, basınç sınırları, muhafaza yapıları ve diğer fiziksel bariyerler de güvenliğin önemli unsurlarıdır.

Fiziksel bariyerlerin temel işlevi, radyoaktif maddelerin bulundukları konumdan çevreye doğru ilerlemesini zorlaştırmak ve bir güvenlik katmanındaki başarısızlığın otomatik olarak çevreye önemli bir radyoaktif salıma dönüşmesini önlemektir. Böylece güvenlik, tek bir bariyerin kusursuz çalışmasına bağımlı olmaktan çıkar.

Fiziksel bariyer ne demektir?

Fiziksel bariyer, radyoaktif maddelerin belirli bir bölgede tutulmasına veya hareketinin sınırlandırılmasına katkı sağlayan fiziksel bir yapıdır. Bariyer kavramı yalnızca kalın beton duvarlardan ibaret değildir. Radyoaktif maddenin bulunduğu veya taşındığı ortamın özelliklerinden başlayarak, onu çevreleyen farklı fiziksel sınırlar ve muhafaza yapıları birlikte değerlendirilir.

Bu nedenle fiziksel bariyerler, tesisin farklı bölümlerinde farklı biçimlerde ortaya çıkabilir. Önemli olan, her bir bariyerin kendi güvenlik işlevini yerine getirmesi ve bir bariyerin kaybedilmesinin diğer koruma katmanlarının da otomatik olarak kaybedilmesine yol açmamasıdır.

Bariyerlerin amacı yalnızca sızıntıyı önlemek değildir

Fiziksel bariyerlerin güvenlik açısından önemi, yalnızca “sızdırmazlık” kavramıyla açıklanamaz. Bir bariyerin görevi; radyoaktif maddenin bulunduğu ortamı fiziksel olarak sınırlamak, basınç ve sıcaklık gibi koşullara dayanmak, beklenen yükler altında bütünlüğünü korumak ve gerektiğinde diğer güvenlik önlemleriyle birlikte çalışmaktır.

Örneğin bir sistemde basınç sınırının bütünlüğünün bozulması, tek başına çevreye radyoaktif salım anlamına gelmez. Sonucun ne olacağı; radyoaktif maddenin bulunduğu konum, sonraki fiziksel bariyerler, muhafaza koşulları, soğutma ve diğer güvenlik fonksiyonlarının durumu ile birlikte değerlendirilir.

Bir bariyerin kaybedilmesi neden hemen felaket anlamına gelmez?

Savunma derinliğinin önemli sonuçlarından biri de budur. Tasarım, tek bir fiziksel bariyerin her koşulda kusursuz kalacağı varsayımına dayanmamalıdır. Bir bariyerin hasar görmesi veya işlevinin azalması halinde diğer güvenlik önlemleri ve fiziksel sınırlar mümkün olduğunca koruyucu işlev görmeye devam etmelidir.

Bu yaklaşım, güvenliği tek noktadan arızaya karşı dayanıklı hale getirmeye yardımcı olur. Ancak burada önemli bir ayrım vardır: fiziksel bariyerlerin birbirinden bağımsız olması tek başına yeterli değildir. Bariyerlerin maruz kalabileceği ortak tehlikeler, birbirleriyle olan bağımlılıkları ve bir olayın birden fazla bariyeri aynı anda etkileyebilme ihtimali de değerlendirilmelidir.

Aktif sistemler ve pasif bariyerler birlikte çalışır

Nükleer güvenlik tasarımında fiziksel bariyerler ile aktif güvenlik sistemleri birbirinin alternatifi değildir. Genellikle birbirlerini tamamlarlar.

Aktif güvenlik sistemleri; ölçüm, kontrol, soğutma, enjeksiyon, izolasyon veya benzeri işlevleri yerine getirerek bir olayın gelişimini kontrol etmeye yardımcı olabilir. Fiziksel bariyerler ise radyoaktif maddelerin bulunduğu ortamı sınırlayarak salımın ilerlemesini engellemeye veya sınırlandırmaya katkıda bulunur.

Bariyerlerin güvenilirliği nasıl değerlendirilir?

Bir fiziksel bariyerin güvenlik açısından yeterli kabul edilebilmesi için yalnızca tasarım aşamasındaki dayanımı dikkate almak yeterli değildir. Bariyerin maruz kalabileceği basınç, sıcaklık, titreşim, deprem, yangın, radyasyon, kimyasal etkiler ve diğer çevresel koşullar da uygun şekilde değerlendirilmelidir.

Ayrıca malzeme özellikleri, üretim kalitesi, imalat kusurları, yaşlanma, bakım ve muayene gibi faktörler bariyerin yaşam döngüsü boyunca güvenilirliğini etkileyebilir. Bu nedenle fiziksel bariyer kavramı yalnızca tasarım anındaki dayanım değil, tesisin tüm yaşam döngüsü boyunca korunması gereken bir güvenlik özelliğidir.

Fiziksel bariyerler ve savunma derinliği

Fiziksel bariyerler, savunma derinliğinin özellikle radyoaktif maddelerin kontrolü ve çevreye salımın sınırlandırılması açısından önemli bir parçasıdır. Ancak bunları savunma derinliğinin kendisiyle özdeşleştirmek doğru değildir.

Savunma derinliği; olayların önlenmesi, anormalliklerin kontrol edilmesi, kazaların sonuçlarının sınırlandırılması, ağır kaza koşullarının yönetilmesi ve gerektiğinde tesis dışındaki insanların korunmasına yönelik farklı güvenlik katmanlarını kapsayan daha geniş bir yaklaşımdır. Fiziksel bariyerler ise bu mimarinin içerisinde, radyoaktif maddelerin tutulmasına ve yayılımının sınırlandırılmasına hizmet eden temel unsurlardır.

25. Güvenlik tasarımı neden yalnızca mühendislik değildir?

Bir nükleer tesisin güvenliği yalnızca tasarım ofisinde hazırlanan çizimlerde, hesaplarda veya analiz raporlarında oluşturulmaz. Tasarım aşamasında belirlenen güvenlik özelliklerinin tesisin imalat, inşaat, devreye alma, işletme, bakım ve değişiklik yönetimi süreçleri boyunca korunması gerekir.

Başka bir ifadeyle güvenlik tasarımı, tesisin fiziksel olarak inşa edilmesiyle sona eren bir faaliyet değildir. Tasarımın güvenlik açısından taşıdığı anlamın tesisin tüm yaşam döngüsü boyunca korunması gerekir.

Tasarım gerekliliği gerçek tesise dönüşmelidir

Mühendislik tasarımında belirlenen her güvenlik gerekliliğinin fiziksel tesiste karşılığının bulunması gerekir. Bir ekipmanın belirli bir yük altında çalışabilmesi, belirli çevresel koşullara dayanması veya belirli bir güvenlik fonksiyonunu yerine getirmesi tasarım dokümanlarında belirtilmiş olabilir. Ancak bu özelliklerin gerçek ekipmanda da bulunması gerekir.

Bu nedenle güvenlik açısından önemli yapı, sistem ve ekipmanlarda tasarım gereklilikleri ile imalat ve inşaat sonuçları arasında izlenebilirlik kurulması önemlidir. Tasarımın gerektirdiği özelliklerin üretim, montaj ve kurulum aşamalarında kaybolmaması gerekir.

Kalite güvencesi neden güvenlik tasarımının parçasıdır?

Güvenlik açısından önemli bir ekipmanın tasarım gerekliliklerini karşılaması kadar, bu gerekliliklerin imalat ve montaj sırasında doğru şekilde uygulanması da önemlidir. Kalite güvencesi bu noktada yalnızca ürünün son kontrolden geçirilmesi anlamına gelmez.

Sürecin tamamında kullanılan malzemelerin, üretim yöntemlerinin, ölçümlerin, kaynakların, montaj işlemlerinin, testlerin ve ilgili kayıtların belirlenen gerekliliklerle uyumlu olması gerekir. Böylece güvenlik açısından önemli özelliklerin tesadüfen veya kontrolsüz şekilde değişmesi önlenmeye çalışılır.

Test ve doğrulama: Tasarımın gerçekten çalıştığını göstermek

Bir güvenlik sistemi yalnızca tasarım hesaplarında öngörüldüğü için güvenilir kabul edilmemelidir. Mümkün olduğu ölçüde sistemin ve bileşenlerin gerekli işlevleri yerine getirebildiği uygun testler ve doğrulama yöntemleriyle gösterilmelidir.

Devreye alma testleri bu açıdan özel önem taşır. Çünkü tasarım dokümanlarında ayrı ayrı tanımlanan yapı, sistem ve ekipmanlar ilk kez gerçek tesis koşullarında birlikte çalışmaya başlar. Bu aşamada yalnızca tek tek ekipmanların değil, güvenlik fonksiyonunun bir bütün olarak doğrulanması önem kazanır.

Bakım ve periyodik testler

Güvenlik açısından önemli bir ekipmanın ilk günkü durumu ile tesisin uzun yıllar sonraki durumu aynı olmayabilir. Aşınma, yaşlanma, çevresel etkiler, malzeme özelliklerindeki değişimler ve kullanım koşulları ekipmanın performansını etkileyebilir.

Bu nedenle güvenlik tasarımında öngörülen güvenilirliğin işletme boyunca sürdürülebilmesi için bakım, muayene, izleme ve periyodik testler önemlidir. Buradaki amaç yalnızca arızalanmış bir ekipmanı onarmak değil, güvenlik fonksiyonunun gerekli performansı sürdürebildiğini düzenli olarak doğrulamaktır.

İşletme prosedürleri de güvenlik mimarisinin parçasıdır

Çok iyi tasarlanmış bir güvenlik sistemi, yanlış işletme koşulları altında beklenen performansı göstermeyebilir. Bu nedenle işletme prosedürleri, güvenlik sistemlerinin kullanım koşulları ve personelin eğitim düzeyi tasarımın öngördüğü güvenlik yaklaşımıyla uyumlu olmalıdır.

Özellikle anormal işletme koşulları ve kaza koşullarında hangi güvenlik fonksiyonlarının korunacağı, hangi sistemlerin kullanılacağı ve hangi bilgilerin işletme personeline sağlanacağı önceden belirlenmiş bir yaklaşım içerisinde ele alınır.

Değişiklik yönetimi: Sonradan yapılan değişiklikler de tasarım konusudur

Tesis işletmeye alındıktan sonra hiçbir şeyin değişmeyeceğini varsaymak gerçekçi değildir. Ekipmanlar yenilenebilir, sistemlerde değişiklik yapılabilir, yazılım güncellenebilir, kablo güzergâhları değiştirilebilir veya işletme yöntemleri yeniden düzenlenebilir.

Ancak küçük görünen bir değişiklik bile güvenlik açısından önemli sonuçlar doğurabilir. Örneğin bir ekipmanın yerinin değiştirilmesi, başka bir güvenlik sistemiyle olan fiziksel ayrımı azaltabilir. Bir kablo güzergâhının değiştirilmesi, yangın açısından daha önce bulunmayan bir ortak nedenli risk oluşturabilir. Bir kontrol sistemi değişikliği ise insan-makine arayüzünü etkileyebilir.

Bu nedenle değişikliklerin yalnızca teknik olarak çalışıp çalışmadığı değil, mevcut güvenlik analizlerini, güvenlik fonksiyonlarını, bağımsızlığı ve savunma derinliğini nasıl etkilediği de değerlendirilmelidir.

Düzenleyici gözetim neden gereklidir?

Nükleer güvenlikte tasarım ve işletme faaliyetlerinin bağımsız bir düzenleyici çerçeve içerisinde değerlendirilmesi, güvenlik gerekliliklerinin yalnızca tesis işletmecisinin iç süreçlerine bırakılmamasını sağlar. Düzenleyici gözetim; tasarım, değişiklikler, işletme, denetim ve güvenlikle ilgili diğer faaliyetlerin belirlenen gerekliliklerle uyumunun değerlendirilmesine katkıda bulunur.

Bununla birlikte düzenleyici gözetim, tesis işletmecisinin güvenlik sorumluluğunun yerine geçmez. Güvenliğin sağlanması ve sürdürülmesi için gerekli organizasyonel ve teknik sorumluluklar tesisin kendi yönetim sistemi içerisinde devam eder.

Tasarımın güvenlik amacı yaşam döngüsü boyunca korunmalıdır

Bu bölümdeki bütün unsurlar aslında tek bir düşüncenin farklı parçalarıdır: tasarımda oluşturulan güvenlik seviyesinin tesisin gerçek yaşamında korunması.

Bu zincirin herhangi bir halkasında güvenlik açısından önemli bir özellik kaybedilirse, tasarım aşamasında hesaplanan güvenlik düzeyi ile gerçek tesisin güvenlik performansı arasında fark oluşabilir. Bu nedenle nükleer güvenlik, yalnızca tasarım mühendislerinin veya yalnızca işletme personelinin sorumluluğu değildir; farklı disiplinlerin ve organizasyonların birlikte yürüttüğü sürekli bir güvenlik faaliyetidir.

26. Güvenlik tasarımı bir yaşam döngüsü yaklaşımıdır

Nükleer güvenlik tasarımı, tesisin ilk tasarımının tamamlanmasıyla sona eren bir faaliyet değildir. Güvenlik açısından önemli yapı, sistem ve ekipmanların güvenlik fonksiyonları; tasarım, imalat, inşaat, devreye alma, işletme, bakım, değişiklikler ve işletmeden çıkarma dahil olmak üzere tesisin yaşam döngüsünün farklı aşamalarında korunmalıdır.

Bu nedenle güvenlik tasarımını yalnızca tesisin nasıl inşa edileceğini belirleyen bir mühendislik faaliyeti olarak görmek eksik kalır. Tasarımda oluşturulan güvenlik yaklaşımının daha sonraki aşamalarda nasıl uygulanacağı, doğrulanacağı, korunacağı ve gerektiğinde yeniden değerlendirileceği de güvenlik yaklaşımının bir parçasıdır.

IAEA'nın nükleer güç santrallerinin tasarımına ilişkin SSR-2/1 Rev.1 yaklaşımı da güvenlik açısından önemli yapı, sistem ve ekipmanların ve bunlara ilişkin gerekliliklerin tesisin yaşam döngüsü boyunca ele alınmasını öngören bütünsel bir çerçeve sunar.

Tasarım aşaması: güvenlik mimarisinin oluşturulması

Yaşam döngüsünün başlangıç noktasında tesisin güvenlik mimarisi oluşturulur. Hangi tehlikelerin dikkate alınacağı, hangi güvenlik fonksiyonlarının gerekli olduğu, bu fonksiyonların hangi yapı, sistem ve ekipmanlarla sağlanacağı ve bu ekipmanların hangi güvenlik önemine sahip olduğu belirlenir.

Savunma derinliği, yedeklilik, çeşitlilik, bağımsızlık, fiziksel ayrım, tek hata yaklaşımı, dış tehlikelere dayanım ve güvenlik marjları gibi ilkeler de bu aşamada birlikte değerlendirilir. Böylece sonraki yaşam döngüsü aşamalarının temelini oluşturacak güvenlik gereklilikleri ortaya çıkar.

İmalat ve inşaat: tasarımın gerçeğe dönüşmesi

Tasarımda belirlenen özelliklerin gerçek tesiste bulunması gerekir. Bunun için güvenlik açısından önemli ekipmanların imalatından başlayarak malzeme seçimi, üretim süreçleri, kaynak ve birleştirme işlemleri, montaj, kurulum ve yapı çalışmalarına kadar birçok faaliyet kontrol altında tutulur.

Buradaki temel amaç, tasarım ile gerçek tesis arasındaki uyumu sağlamaktır. Tasarımda belirlenen bir güvenlik fonksiyonunun fiziksel tesiste aynı şekilde gerçekleştirildiği gösterilebilmelidir.

Devreye alma: tasarım ile gerçek tesisin karşılaştırılması

Devreye alma aşaması, tasarımda öngörülen güvenlik fonksiyonlarının gerçek tesis üzerinde doğrulandığı önemli bir aşamadır. Bu süreçte sistemler yalnızca tek tek çalıştırılmaz; gerekli olduğunda birbirleriyle olan etkileşimleri ve güvenlik fonksiyonlarının bir bütün olarak yerine getirilmesi de değerlendirilir.

Böylece “tasarımda çalışması bekleniyor” ile “gerçek tesiste gerekli koşullarda çalıştığı gösterildi” arasındaki fark ortaya konur. Bu ayrım nükleer güvenlik açısından büyük önem taşır.

İşletme: tasarımın sürekli uygulanması

Tesis işletmeye alındığında güvenlik tasarımı günlük işletme faaliyetlerinin içine girer. Güvenlik sistemlerinin hazır durumda tutulması, işletme sınırlarının izlenmesi, bakım ve testlerin gerçekleştirilmesi ve anormal koşullarda uygun güvenlik fonksiyonlarının kullanılabilmesi gerekir.

Bu nedenle işletme prosedürleri, personel eğitimi, alarm yönetimi, bakım programları, periyodik testler ve güvenlik açısından önemli sistemlerin izlenmesi; tasarımda oluşturulan güvenlik mimarisinin işletme aşamasındaki devamı olarak görülmelidir.

İşletme deneyimi güvenlik tasarımını besler

Tesis işletmeye alındıktan sonra gerçek işletme koşullarından elde edilen bilgiler önemli bir güvenlik kaynağı haline gelir. Ekipman davranışları, bakım sonuçları, testlerden elde edilen veriler, olaylar, uygunsuzluklar ve diğer işletme deneyimleri güvenlik değerlendirmelerinde kullanılabilir.

Buradaki yaklaşım, yalnızca bir arıza meydana geldikten sonra tepki vermek değildir. Elde edilen deneyimlerin sistematik olarak değerlendirilmesi ve gelecekte benzer sorunların ortaya çıkma ihtimalini azaltacak önlemlerin belirlenmesi amaçlanır.

Yeni bilgi güvenlik değerlendirmesini değiştirebilir

Bir tesis tasarlanırken mevcut bilimsel ve mühendislik bilgileri kullanılır. Ancak tesisin işletme ömrü boyunca yeni deprem verileri, yeni analiz yöntemleri, yeni malzeme bilgileri, yeni işletme deneyimleri veya daha gelişmiş güvenlik değerlendirme yöntemleri ortaya çıkabilir.

Bu nedenle güvenlik yaklaşımının “tasarım tarihinde bilinen her şeyle sınırlı” olması beklenmez. Yeni bilgilerin tesisin mevcut güvenlik değerlendirmeleri üzerindeki etkisi incelenebilir ve gerekli görüldüğünde güvenlik iyileştirmeleri yapılabilir.

Değişiklik yönetimi yaşam döngüsünün önemli bir parçasıdır

Tesisin işletme ömrü boyunca yapılan değişiklikler güvenlik açısından ayrıca değerlendirilmelidir. Bir ekipmanın değiştirilmesi, bir yazılımın güncellenmesi, bir sistemin yeniden yapılandırılması veya işletme yönteminin değiştirilmesi mevcut güvenlik mimarisini etkileyebilir.

Bu nedenle her önemli değişiklik için yalnızca yeni çözümün çalışıp çalışmadığı değil, mevcut güvenlik fonksiyonlarının, bağımsızlığın, yedekliliğin, fiziksel ayrımın ve savunma derinliğinin korunup korunmadığı değerlendirilmelidir.

Yaşlanma: zaman güvenlik tasarımının bir parçasıdır

Tesisin yaşı ilerledikçe malzemelerde ve ekipmanlarda değişimler meydana gelebilir. Aşınma, korozyon, yorulma, çevresel etkiler, radyasyon ve diğer yaşlanma mekanizmaları bazı güvenlik açısından önemli özelliklerin zaman içerisinde değişmesine neden olabilir.

Bu nedenle yaşam döngüsü yaklaşımı, güvenlik fonksiyonlarının yalnızca tesisin ilk işletme döneminde değil, uzun işletme süreleri boyunca korunmasını da kapsar. İzleme, bakım, muayene, test ve gerektiğinde ekipman yenileme faaliyetleri bu yaklaşımın önemli unsurlarıdır.

İşletmeden çıkarma da güvenlik tasarımının dışına çıkmaz

Bir nükleer tesisin enerji üretiminin sona ermesi, güvenlik gerekliliklerinin tamamen ortadan kalktığı anlamına gelmez. İşletmeden çıkarma sürecinde tesiste ve sahada bulunabilecek radyoaktif maddeler, radyolojik riskler, söküm faaliyetleri ve atıkların yönetimi gibi konular dikkate alınmalıdır.

Dolayısıyla güvenlik yaklaşımı, tesisin işletme döneminden sonraki faaliyetlerini de kapsayacak şekilde ele alınmalıdır. Güvenliğin amacı değişebilir; ancak insanların ve çevrenin radyasyondan korunması temel hedef olarak devam eder.

Yaşam döngüsü boyunca sürekli güvenlik döngüsü

Tüm bu aşamalar birbirinden kopuk faaliyetler değildir. Yaşam döngüsü yaklaşımında her aşamadan elde edilen bilgi sonraki aşamalara ve gerektiğinde önceki tasarım kabullerinin yeniden değerlendirilmesine katkı sağlayabilir.

Bu döngüsel yaklaşımın önemli bir sonucu vardır: güvenlik, tesisin yaşı ilerledikçe otomatik olarak aynı kalacağı varsayılan bir özellik değildir. Güvenlik performansının korunması için tesisin mevcut durumu, işletme deneyimi, yeni bilgiler ve değişen koşullar sürekli olarak değerlendirilmelidir.

27. Güvenlik tasarımının üç temel sorusu

Nükleer güvenlik tasarımında çok sayıda teknik gereklilik, hesap, analiz, sistem ve ekipman bulunur. Ancak bütün bu mühendislik çalışmalarının arkasındaki temel mantık birkaç soruyla ifade edilebilir.

Bu sorular yalnızca bir kazanın nasıl önleneceğini değil, beklenmeyen bir olay meydana geldiğinde, ilk koruma önlemleri yeterli olmadığında ve daha ileri savunma seviyelerine ihtiyaç duyulduğunda ne yapılacağını da kapsar.

1. Ne yanlış gidebilir?

Güvenlik tasarımının ilk sorusu, tesisin karşılaşabileceği olayları ve tehlikeleri mümkün olduğunca sistematik biçimde ortaya koymaktır. Burada yalnızca ekipman arızaları düşünülmez. İnsan hataları, yangın, deprem, sel, aşırı hava olayları, enerji kaybı, yardımcı sistemlerin kaybı ve diğer iç veya dış tehlikeler de değerlendirmeye dahil edilir.

Ancak önemli olan yalnızca olayların bir listesini oluşturmak değildir. Her olay için şu soruların da cevaplanması gerekir:

Böylece güvenlik analizi “hangi ekipman bozulabilir?” sorusundan daha geniş bir perspektife taşınır ve “hangi olay zinciri güvenlik fonksiyonlarının kaybedilmesine yol açabilir?” sorusuna dönüşür.

2. Yanlış giderse nasıl kontrol edeceğiz?

İkinci temel soru, olay meydana geldiğinde tesisin nasıl kontrol altında tutulacağıdır. Bu noktada erken tespit, alarm sistemleri, koruma fonksiyonları, otomatik işlemler, güvenli duruma geçiş ve gerektiğinde işletme personelinin müdahalesi önem kazanır.

Buradaki amaç olayın yalnızca fark edilmesi değildir. Olayın büyümesinin ve daha ciddi bir duruma dönüşmesinin önlenmesi hedeflenir. Bunun için ölçüm ve izleme sistemlerinden koruma sistemlerine, soğutma ve izolasyon fonksiyonlarından işletme prosedürlerine kadar farklı unsurlar birlikte çalışır.

Bu aşamada güvenilirlik de kritik önem taşır. Bir güvenlik fonksiyonunun yalnızca tek bir ekipmana bağlı olmaması; gerektiğinde yedeklilik, çeşitlilik, bağımsızlık ve uygun tasarım marjlarıyla desteklenmesi gerekir.

3. İlk savunmalar başarısız olursa ne yapacağız?

Güvenlik tasarımının en önemli özelliklerinden biri, ilk koruma önlemlerinin her zaman başarılı olacağının varsayılmamasıdır. Savunma derinliği yaklaşımının temel mantığı da burada ortaya çıkar.

Bir olayın önlenmesi başarısız olabilir. Olayı kontrol etmeye yönelik ikinci seviye önlemler yeterli olmayabilir. Kaza koşullarında kullanılan sistemlerin bir kısmı da kullanılamaz hale gelebilir. Bu durumda güvenlik yaklaşımı sona ermez; daha ileri savunma katmanları devreye girer.

Bu katmanlar; kazanın sonuçlarının sınırlandırılması, reaktörün veya ilgili güvenlik fonksiyonlarının korunması, radyoaktif maddelerin muhafaza edilmesi, ağır kaza koşullarının yönetilmesi ve gerektiğinde tesis dışındaki insanların korunmasına yönelik hazırlıkları kapsayabilir.

Üç soru aslında savunma derinliğini tarif eder

Bu üç soru birbirinden bağımsız değildir. Birinci soru tehlikeleri ve olayları ortaya koyar. İkinci soru bu olayların kontrol edilmesini sağlar. Üçüncü soru ise ilk savunma katmanlarının yeterli olmadığı durumlarda daha ileri koruma seviyelerinin nasıl çalışacağını ele alır.

Güvenlik tasarımında “tek çözüm” yoktur

Bu yaklaşımın önemli bir sonucu da güvenliğin tek bir ekipmana veya tek bir teknolojiye bağlanmamasıdır. Bir güvenlik fonksiyonunun korunması için farklı türde önlemler birlikte kullanılabilir.

Güvenilirlik yalnızca ekipman sayısı değildir

Çok sayıda güvenlik sistemi bulunması tek başına yüksek güvenlik anlamına gelmez. Bu sistemlerin aynı enerji kaynağına, aynı kontrol altyapısına, aynı fiziksel bölgeye veya aynı destek sistemine bağımlı olması durumunda ortak bir olay birden fazla sistemi aynı anda etkileyebilir.

Bu nedenle güvenlik tasarımında yedeklilik, çeşitlilik, bağımsızlık, fiziksel ayrım, çevresel dayanım, test edilebilirlik ve yeterli tasarım marjı birlikte değerlendirilir.

İnsan da güvenlik mimarisinin bir parçasıdır

Güvenlik tasarımının üç temel sorusunun cevapları yalnızca teknik sistemlerle sınırlı değildir. Özellikle anormal işletme ve kaza koşullarında işletme personeline sağlanan bilgi, alarm düzeni, insan-makine arayüzü, prosedürler, eğitim ve karar verme desteği de güvenlik yaklaşımının parçalarıdır.

Bununla birlikte güvenlik tasarımı, insanın sürekli olarak kusursuz karar vereceği varsayımına dayanmamalıdır. İnsan hatasının olası etkileri tasarım aşamasında dikkate alınmalı ve mümkün olduğunca uygun otomasyon, açık bilgi sunumu, alarm yönetimi, prosedürler ve hata toleranslı tasarım yaklaşımlarıyla azaltılmalıdır.

Üç sorunun yaşam döngüsü boyunca tekrar sorulması gerekir

Bu sorular yalnızca tesisin ilk tasarımı sırasında sorulmaz. Tesis işletmeye alındıktan sonra elde edilen işletme deneyimleri, yeni bilimsel bilgiler, değişen çevresel koşullar, yaşlanma etkileri ve yapılan tasarım değişiklikleri nedeniyle aynı sorular yeniden gündeme gelebilir.

28. Sonuç: Güvenlik tasarımının gerçek amacı

Nükleer güvenlik tasarımının amacı, doğanın, teknolojinin veya insan davranışlarının bütün belirsizliklerini ortadan kaldırmak değildir. Böyle bir hedef gerçekçi değildir. Hiçbir mühendislik sistemi tüm arızaları, tüm dış tehlikeleri veya tüm insan hatalarını önceden ve mutlak kesinlikle ortadan kaldıramaz.

Güvenlik tasarımının gerçek amacı, belirsizlikleri tanımak, tehlikeleri sistematik olarak değerlendirmek ve bu tehlikelerin güvenlik fonksiyonlarını kaybettirme ihtimalini mümkün olduğunca azaltmaktır. Bunun yanında, beklenmeyen bir olay meydana geldiğinde olayın büyümesini önleyecek ve sonuçlarını sınırlandıracak ilave savunma katmanları oluşturulur.

Güvenlik tasarımının temel hedefi: güvenlik fonksiyonlarını korumak

Nükleer güvenlik tasarımını yalnızca “güvenlik sistemleri tasarımı” olarak görmek eksik olur. Çünkü güvenlik açısından önemli olan yalnızca belirli pompaların, vanaların, elektrik sistemlerinin veya kontrol ekipmanlarının çalışması değildir.

Asıl konu, tesisin gerekli güvenlik fonksiyonlarını yerine getirebilmesidir. Bir ekipmanın arızalanması ancak bu arızanın ilgili güvenlik fonksiyonunu etkilediği ölçüde güvenlik açısından anlam kazanır. Aynı şekilde birden fazla ekipmanın mevcut olması da ancak gerekli fonksiyonun bağımsız ve güvenilir biçimde sürdürülebilmesini sağlıyorsa gerçek bir güvenlik avantajı oluşturur.

Risk sıfır değildir; ancak risk yönetilebilir

Mühendislik açısından önemli bir nokta da şudur: “Güvenli” ile “hiçbir risk yok” aynı şey değildir. Nükleer güvenlik tasarımında amaç, tüm riskleri matematiksel olarak sıfırlamak değil; makul ölçüde öngörülebilen tehlikeleri ve bunların olası sonuçlarını sistematik biçimde değerlendirerek riski kabul edilebilir ve mümkün olduğunca düşük seviyelere indirmektir.

Bu nedenle tasarımda yalnızca “sistem çalışır mı?” sorusu sorulmaz. Aynı zamanda sistemin hangi koşullarda çalışması gerektiği, çalışmaması halinde hangi sonuçların ortaya çıkabileceği ve bu durumda başka hangi savunma katmanlarının mevcut olduğu da değerlendirilir.

Güvenlik tek bir özelliğin sonucu değildir

Bir tesisin güvenliği tek bir ekipmanın dayanımından, tek bir otomatik koruma sisteminden veya tek bir fiziksel bariyerden kaynaklanmaz. Güvenlik; çok sayıda teknik ve organizasyonel unsurun birlikte çalışmasının sonucudur.

Pasif bariyerler ve aktif sistemler birlikte çalışır

Güvenlik mimarisinin gücü yalnızca aktif sistemlerin çalışmasına bağlı değildir. Fiziksel bariyerler, doğal güvenlik özellikleri, pasif tasarım unsurları ve aktif güvenlik sistemleri farklı şekillerde birbirlerini tamamlar.

Böylece bir güvenlik sisteminin veya ekipmanın başarısız olması, otomatik olarak radyoaktif maddelerin çevreye ulaşması anlamına gelmez. Aradaki fiziksel ve fonksiyonel koruma katmanları olayın ilerlemesini sınırlandırabilir.

En kötü duruma karşı düşünmek

Güvenlik tasarımının olgunluğu, yalnızca normal koşullarda her şeyin düzgün çalışmasıyla ölçülmez. Daha zor koşulların da değerlendirilmesi gerekir. Birden fazla ekipmanın aynı anda etkilenmesi, dış bir tehlikenin birden fazla sistemi etkilemesi, enerji veya destek sistemlerinin kaybedilmesi ya da ilk savunma katmanlarının yeterli olmaması gibi durumlar güvenlik analizinin önemli konularıdır.

Bu yaklaşımın amacı “her şeyin mutlaka aynı anda bozulacağı” varsayımını yapmak değildir. Amaç, önemli savunma katmanlarının kaybedilebileceği makul senaryolar karşısında tesisin hangi ilave koruma olanaklarına sahip olduğunu ortaya koymaktır.

Güvenlik tasarımı bir mühendislik kültürüdür

Güvenlik tasarımının son aşamada ulaştığı nokta yalnızca teknik sistemler değildir. Güvenlik için doğru soruların sürekli sorulması gerekir:

Güvenlik tasarımının büyük resmi

Önceki bölümlerde ele alınan bütün kavramlar aslında aynı güvenlik felsefesinin farklı parçalarıdır. Deprem ve diğer dış tehlikeler, yangın, ortak nedenli arızalar, fiziksel bariyerler, güvenlik sınıflandırması, yedeklilik, çeşitlilik, bağımsızlık, fail-safe yaklaşımı, insan faktörleri, tasarım marjları ve yaşam döngüsü yönetimi birbirinden kopuk konular değildir.

Bunların tamamı tek bir amaca hizmet eder: tesis gerekli güvenlik fonksiyonlarını, beklenen ve beklenmeyen koşullar altında mümkün olduğunca güvenilir biçimde yerine getirebilsin.

Bu yaklaşımın merkezinde tek bir sistem değil, birbirini tamamlayan savunma katmanları bulunur. Her katmanın kendi amacı, kendi güvenlik fonksiyonları ve kendi güvenilirlik gereklilikleri vardır. Katmanlar arasındaki bağımsızlık ve farklılık ise tek bir olayın bütün güvenlik mimarisini aynı anda etkisiz bırakmasını zorlaştırır.

Son söz

Nükleer güvenlik tasarımının gerçek başarısı, hiçbir olayın meydana gelmemesiyle ölçülemez. Böyle bir sonuç elbette hedeflenir; ancak güvenliğin mühendislik açısından asıl gücü, bir olay meydana geldiğinde ne kadar kontrollü kalınabildiğinde ortaya çıkar.

İyi bir güvenlik tasarımı; olayları önlemeye çalışır, anormallikleri erken fark eder, güvenlik fonksiyonlarını korur, kazaların ilerlemesini sınırlandırır, radyoaktif maddeleri mümkün olduğunca çok sayıda koruma katmanı arkasında tutar ve daha ağır koşullarda dahi sonuçları azaltacak ilave savunma olanakları oluşturur.