Nükleer Tesislerde Güvenlik Değerlendirmesi

Güvenlik değerlendirmesi, bir nükleer tesisin güvenlik açısından belirlenen gereklilikleri karşılayıp karşılamadığını göstermek amacıyla yapılan sistematik analiz, hesaplama, doğrulama ve değerlendirme faaliyetlerinin bütünüdür.

Bu değerlendirme yalnızca bir kazanın meydana gelme ihtimalini hesaplamaz. Aynı zamanda bir olay meydana geldiğinde tesisin nasıl tepki vereceğini, hangi güvenlik fonksiyonlarının devreye gireceğini, bu fonksiyonların ne kadar süreyle korunabileceğini ve olayın daha ağır bir duruma ilerlemesini önlemek için hangi önlemlerin bulunduğunu inceler.

Dolayısıyla güvenlik değerlendirmesi ile güvenlik tasarımı birbirinden tamamen ayrı iki faaliyet değildir. Tasarımın ortaya koyduğu güvenlik özellikleri analizlerle sınanır; analizlerin ortaya çıkardığı zayıflıklar ise gerektiğinde tasarımın geliştirilmesine neden olur.

Nükleer güvenlikte tasarım ile güvenlik değerlendirmesi birbirinden kopuk iki faaliyet değildir. Güvenlik tasarımı, tesisin hangi tehlikelere ve olaylara karşı nasıl korunacağını belirlerken; güvenlik değerlendirmesi bu tasarımın belirlenen koşullar altında gerçekten yeterli olup olmadığını sınar.

Bu nedenle güvenlik değerlendirmesi, tasarım tamamlandıktan sonra yapılan basit bir "son kontrol" olarak görülmemelidir. Tasarım geliştikçe analizler ayrıntılanır, analizlerden elde edilen sonuçlar tasarım kararlarıyla karşılaştırılır ve gerekli görülen durumlarda tasarımda değişiklik veya iyileştirmeler yapılır. Böylece tasarım ile güvenlik analizi arasında sürekli bir geri besleme döngüsü oluşur.

Bu döngünün temel amacı yalnızca hesaplanan sonuçların kabul kriterlerini karşılayıp karşılamadığını görmek değildir. Aynı zamanda tasarımın herhangi bir bölümünün güvenlik açısından gereğinden fazla önemli hale gelip gelmediği, güvenlik fonksiyonlarının yeterli bağımsızlık ve güvenilirliğe sahip olup olmadığı ve savunma derinliğinin dengeli bir şekilde oluşturulup oluşturulmadığı da sorgulanır.

Güvenlik değerlendirmesi tasarımı nasıl etkiler?

Bir güvenlik analizinin amacı yalnızca "geçti" veya "kaldı" şeklinde bir sonuç üretmek değildir. Analiz, tasarımın hangi noktalarının güvenlik açısından daha fazla önem taşıdığını da ortaya çıkarabilir.

Örneğin bir güvenlik fonksiyonunun yerine getirilmesi için iki sistemin bulunduğu varsayılabilir. Analiz sonucunda bu iki sistemin aynı elektrik kaynağına, aynı kontrol altyapısına veya aynı fiziksel ortama bağımlı olduğu görülürse, görünürdeki yedekliliğin gerçekte yeterli olmayabileceği anlaşılabilir. Bu durumda güvenlik değerlendirmesinden elde edilen bulgu, tasarımın yeniden incelenmesine yol açabilir.

Benzer şekilde bir hesaplama, belirli bir olay sırasında sıcaklık, basınç veya radyolojik sonuçların güvenlik açısından istenmeyen bir sınıra yaklaştığını gösterebilir. Böyle bir sonuç yalnızca rapora yazılacak bir sayı değildir; tasarım marjlarının, ekipman performansının, güvenlik sistemlerinin veya olay yönetim stratejisinin yeniden değerlendirilmesine neden olabilir.

Tasarım ilerledikçe değerlendirme de derinleşir

Bir nükleer tesisin tasarımı ilk aşamalarda henüz bütün ayrıntıları belirlenmiş bir yapı değildir. Kavramsal tasarım aşamasında yapılan güvenlik değerlendirmesi daha genel sorulara odaklanırken, tasarım ayrıntıları ortaya çıktıkça analizlerin kapsamı ve çözünürlüğü de artırılır.

İlk aşamada temel güvenlik fonksiyonlarının ve ana güvenlik yaklaşımının yeterliliği sorgulanabilir. Daha sonraki aşamalarda sistemlerin kapasitesi, ekipmanların davranışı, yedeklilik ve bağımsızlık, destek sistemleri, insan müdahaleleri, dış tehlikeler ve daha ayrıntılı kaza senaryoları incelenebilir.

Böylece güvenlik değerlendirmesi tasarımın arkasından gelen bir faaliyet değil, tasarımla birlikte olgunlaşan bir mühendislik süreci haline gelir.

Analiz sonucu yalnızca tasarımı değil, işletmeyi de etkiler

Güvenlik değerlendirmesinin sonuçları yalnızca yeni bir tesisin tasarımında kullanılmaz. İşletme sırasında ortaya çıkan deneyimler, ekipman performansı, yaşlanma etkileri, yeni tehlike bilgileri ve yapılan tasarım değişiklikleri de güvenlik değerlendirmesine yeniden yansıtılır.

Özellikle güvenliği etkileyebilecek bir tasarım veya işletme değişikliği yapılmadan önce, bu değişikliğin güvenlik üzerindeki olası etkilerinin değerlendirilmesi gerekir. Değişiklik uygulandıktan sonra da tesisin yeni durumunun güvenlik değerlendirmesiyle uyumlu olduğu doğrulanmalıdır.

Bu yaklaşım, güvenlik değerlendirmesini yalnızca kuruluş veya işletmeye alma döneminin bir faaliyeti olmaktan çıkarır ve tesisin yaşam döngüsü boyunca devam eden bir güvenlik yönetim aracına dönüştürür.

Bağımsız doğrulama neden önemlidir?

Güvenlik değerlendirmesinin kendisi de güvenilir olmalıdır. Kullanılan modellerin, hesaplama yöntemlerinin, bilgisayar programlarının, parametrelerin ve varsayımların uygunluğu doğrulanmalıdır.

Bunun yanında değerlendirmeyi yapan ekip ile değerlendirmeyi doğrulayan kişi veya grubun mümkün olduğunca bağımsız olması, hataların ve fark edilmeyen varsayımların ortaya çıkarılması açısından önemlidir.

Böylece güvenlik zinciri yalnızca "tasarla → hesapla" şeklinde kalmaz;

şeklinde sürekli gelişen bir yapıya dönüşür.

Sonuç olarak güvenlik tasarımı ile güvenlik değerlendirmesi arasında tek yönlü bir ilişki yoktur. Tasarım analizin girdilerini oluştururken, analiz sonuçları da tasarımın geliştirilmesine yön verir. Güvenliğin mühendislik açısından güçlü olmasının temel nedenlerinden biri de bu karşılıklı doğrulama ve geri besleme mekanizmasıdır.

Bir nükleer tesisin normal işletme sırasında güvenli çalışması, tesisin her türlü anormal durum veya kaza karşısında da güvenli kalacağının tek başına kanıtı değildir. Güvenlik tasarımının yeterliliğinin gösterilebilmesi için tesisin normal işletme dışındaki koşullarda nasıl davranacağının da sistematik olarak değerlendirilmesi gerekir.

Güvenlik değerlendirmesinin temel amacı, tasarımda öngörülen güvenlik yaklaşımının gerçekten yeterli olup olmadığını ortaya koymaktır. Bunun için tesisin karşılaşabileceği başlangıç olayları belirlenir, olayların tesiste oluşturabileceği etkiler analiz edilir ve güvenlik açısından önemli yapı, sistem ve bileşenlerin gerekli güvenlik fonksiyonlarını yerine getirip getiremediği incelenir.

Normal işletme yeterli bir test değildir

Normal işletme koşullarında tesisin sıcaklık, basınç, debi, güç, seviye ve diğer önemli parametreleri belirlenen işletme sınırları içerisinde tutulur. Ancak güvenlik açısından asıl önemli sorulardan biri, bu koşullardan beklenmeyen bir sapma meydana geldiğinde tesisin nasıl tepki vereceğidir.

Örneğin bir ekipmanın arızalanması, bir ölçüm bilgisinin kaybolması, elektrik beslemesinin kullanılamaması, soğutma kapasitesinin azalması veya bir işletme hatasının meydana gelmesi tesisin normal durumdan uzaklaşmasına neden olabilir. Güvenlik değerlendirmesi, bu tür olayların hangi sonuçlara yol açabileceğini ve tesisin bunları kontrol altında tutmak için hangi güvenlik fonksiyonlarına sahip olduğunu inceler.

Anormal işletme durumları neden analiz edilir?

Güvenlik değerlendirmesinde önemli bir yaklaşım, tesisin yalnızca büyük kazalar üzerinden değerlendirilmemesidir. Kazaya dönüşmeden kontrol altına alınabilecek anormal işletme durumları da incelenir.

Bunun nedeni açıktır: Güvenlik açısından en iyi sonuç, olayın daha başlangıç aşamasında kontrol altına alınmasıdır. Bir başlangıç olayı tesisin normal işletme durumundan sapmasına neden olduğunda, koruyucu ve kontrol edici sistemlerin doğru zamanda devreye girmesi olayın daha ciddi bir duruma ilerlemesini önleyebilir.

Bu nedenle güvenlik değerlendirmesi bir bakıma olayların hangi noktada durdurulabildiğini de araştırır. Olay kontrol altına alınabiliyorsa hangi sistemlerin bunu sağladığı, bir güvenlik fonksiyonu gerekli olduğunda bunun ne kadar güvenilir olduğu ve ilk savunmanın başarısız olması durumunda hangi ilave koruma katmanlarının bulunduğu incelenir.

Kaza durumunda ne olur?

Güvenlik değerlendirmesi, anormal işletme durumlarının yanı sıra kontrol edilmesi daha zor olan kaza durumlarını da ele alır. Buradaki temel yaklaşım, tasarımda öngörülen güvenlik önlemlerinin belirli bir başlangıç olayından sonra tesisin güvenliğini korumaya yeterli olup olmadığını değerlendirmektir.

Kaza analizlerinde yalnızca olayın kendisi değil, olayın zaman içerisinde nasıl geliştiği de önemlidir. Isı üretiminin nasıl değiştiği, soğutmanın nasıl sürdürüldüğü, basınç ve sıcaklıkların nasıl geliştiği, güvenlik sistemlerinin ne zaman devreye girdiği ve radyoaktif maddelerin fiziksel bariyerler içerisinde tutulmasının nasıl sağlandığı birlikte değerlendirilir.

Böylece güvenlik değerlendirmesi yalnızca tek bir ekipmanın çalışıp çalışmadığını değil, tesis içerisindeki güvenlik fonksiyonlarının olay boyunca birlikte nasıl çalıştığını ortaya koyar.

Asıl soru: Güvenlik fonksiyonları korunabiliyor mu?

Güvenlik değerlendirmesinin merkezinde ekipmanlardan çok güvenlik fonksiyonları bulunur. Çünkü belirli bir ekipmanın arızalanması tek başına nihai güvenlik sonucunu belirlemez. Önemli olan, bu arızanın gerekli güvenlik fonksiyonlarından birinin kaybedilmesine yol açıp açmadığıdır.

Örneğin bir pompanın devre dışı kalması, eğer aynı güvenlik fonksiyonunu yerine getirebilen yeterli ve bağımsız başka düzenlemeler mevcutsa, tesis açısından sınırlı bir sonuç doğurabilir. Ancak görünürde yedek olan sistemlerin aynı elektrik kaynağına, aynı kontrol altyapısına veya aynı fiziksel tehlikeye bağımlı olması durumunda gerçek güvenilirlik beklenenden daha düşük olabilir.

Bu nedenle güvenlik değerlendirmesi; yedeklilik, bağımsızlık, çeşitlilik, tek hata toleransı, destek sistemleri, enerji kaynakları ve ortak nedenli arıza olasılıklarını birlikte ele alır.

Değerlendirme yalnızca "olur mu?" sorusunu sormaz

Güvenlik değerlendirmesinin amacı yalnızca bir olayın meydana gelip gelmeyeceğini tahmin etmek değildir. Daha önemli olan, olay meydana geldiğinde tesisin güvenlik fonksiyonlarını sürdürebilecek yeterli savunma katmanlarına sahip olup olmadığını göstermektir.

Bu nedenle analizlerde başlangıç olayından sonra tesisin davranışı adım adım incelenir. Hangi güvenlik fonksiyonu gereklidir? Hangi sistem bu fonksiyonu gerçekleştirir? Sistem ne zaman devreye girmelidir? Bir ekipmanın çalışmaması durumunda başka bir koruma yolu var mıdır? Operatör müdahalesi gerekiyorsa bunun için yeterli zaman ve bilgi mevcut mudur? İlk koruma katmanı başarısız olursa daha ileri savunma katmanları devreye girebilir mi?

Güvenlik değerlendirmesi tasarımın yeterliliğini nasıl gösterir?

Analizlerden elde edilen sonuçlar, önceden belirlenmiş güvenlik hedefleri ve kabul kriterleriyle karşılaştırılır. Böylece güvenlik tasarımının belirlenen koşullar altında yeterli olup olmadığı teknik ve sistematik bir temele oturtulur.

Eğer sonuçlar kabul edilebilir sınırlar içerisinde değilse veya güvenlik açısından önemli bir zayıflık ortaya çıkıyorsa, değerlendirme süreci tasarımın yeniden incelenmesine neden olabilir. Sistem kapasitesinin artırılması, bağımsızlığın güçlendirilmesi, yeni bir koruma düzenlemesinin değerlendirilmesi, işletme prosedürlerinin geliştirilmesi veya analiz varsayımlarının yeniden ele alınması gibi farklı iyileştirmeler gündeme gelebilir.

Böylece güvenlik değerlendirmesi, önceki bölümde açıklanan tasarım → analiz → değerlendirme → iyileştirme döngüsünün önemli bir parçası haline gelir.

Sonuç olarak güvenlik değerlendirmesi, bir nükleer tesisin güvenli olduğuna dair genel bir kanaat oluşturmak için değil; belirlenmiş olaylar ve koşullar altında güvenlik fonksiyonlarının nasıl korunacağını teknik olarak göstermek için yapılır. Bu değerlendirme, tesisin normal işletmeden anormal durumlara ve kazalara kadar uzanan geniş bir koşullar aralığındaki davranışını anlamaya ve tasarımın yeterliliğini ortaya koymaya yardımcı olur.

Güvenlik değerlendirmesinin en önemli aşamalarından biri, hangi olayların analiz edilmesi gerektiğinin sistematik olarak belirlenmesidir. Çünkü bir nükleer tesisin güvenliğini değerlendirmek için yalnızca tek bir kaza senaryosuna bakmak yeterli değildir. Tesisin normal işletmeden sapmasına neden olabilecek olaylar, bu olayların gelişebileceği kazalar ve tesisin maruz kalabileceği dış tehlikeler birlikte ele alınır.

Olayların seçilmesinde tesisin tasarımı, işletme özellikleri, güvenlik fonksiyonları, yapı ve sistemlerin davranışı, fiziksel bariyerler, destek sistemleri ve dış tehlikeler dikkate alınır. Amaç bütün düşünülebilecek olayları aynı ayrıntı düzeyinde hesaplamak değil; güvenlik açısından anlamlı sonuçlar doğurabilecek olayları belirleyerek bunların tesis üzerindeki etkilerini değerlendirmektir.

Anormal işletme durumları ve kazalar

Güvenlik değerlendirmesinde temel ayrımlardan biri, anormal işletme durumları ile daha ileri sonuçlara yol açabilecek kaza durumlarının birbirinden ayrılmasıdır.

Anormal işletme durumu, tesisin normal çalışma koşullarından sapmasına neden olan ancak uygun güvenlik ve kontrol düzenlemeleriyle kontrol altına alınabilecek bir olay olabilir. Bir ekipmanın arızalanması, mekanik bir hata veya tekil bir operatör hatası bu kapsamda değerlendirilebilecek örneklerdir. Yüklediğiniz kaynak da bu tür olayları tesisin işletme ömrü boyunca ortaya çıkabilecek başlangıç durumları arasında değerlendirmektedir. :contentReference[oaicite:2]{index=2}

Kaza durumlarında ise tesisin normal işletmeden daha ciddi biçimde uzaklaştığı ve güvenlik açısından daha zorlayıcı koşulların ortaya çıkabileceği varsayılır. Bu değerlendirmelerde yalnızca olayın meydana gelmesi değil, olayın ilerlemesi halinde güvenlik fonksiyonlarının ve radyoaktif maddeleri sınırlayan bariyerlerin nasıl etkileneceği incelenir. Kaynak dokümanda kazalar, anormal işletme durumlarının ötesine geçen ve meydana gelmeleri halinde radyoaktif madde salımı potansiyeli oluşturabilecek durumlar çerçevesinde ele alınmaktadır. :contentReference[oaicite:3]{index=3}

Olaylar neden tek tek isim olarak değerlendirilmez?

Bir olayın adı tek başına güvenlik açısından yeterli bilgi vermez. Aynı başlangıç olayı farklı tasarımlarda farklı sonuçlar doğurabilir. Bu nedenle güvenlik değerlendirmesinde asıl önemli olan, olayın hangi fiziksel süreçleri tetiklediği ve hangi güvenlik fonksiyonlarını zorladığıdır.

Örneğin bir ekipmanın devre dışı kalması yalnızca o ekipmanın kaybı olarak değerlendirilmez. Öncelikle bu ekipmanın hangi güvenlik fonksiyonuna katkı verdiği belirlenir. Daha sonra yedek ekipmanların bulunup bulunmadığı, bunların bağımsız olup olmadığı, gerekli destek sistemlerinin kullanılabilirliği ve olayın diğer güvenlik sistemleri üzerindeki etkileri incelenir.

Böylece güvenlik değerlendirmesi, "hangi ekipman arızalandı?" sorusundan daha önemli olan "hangi güvenlik fonksiyonu etkilendi ve bu fonksiyon nasıl korunacak?" sorusuna yönelir.

Reaktör davranışını zorlayan olaylar

Bazı başlangıç olayları doğrudan reaktörün fiziksel davranışında önemli değişikliklere neden olabilir. Güç seviyesinin veya güç dağılımının beklenmeyen biçimde değişmesi, reaktivitedeki değişimler veya çekirdekteki ısı üretimi ile ısı uzaklaştırma arasındaki dengenin bozulması bu açıdan önemlidir.

Bu tür olaylarda güvenlik değerlendirmesi; reaktör gücünün zaman içerisindeki değişimini, ısı üretimini, soğutma koşullarını ve ilgili güvenlik sistemlerinin tepkisini birlikte ele alır. Yüklenen kaynakta da anormal işletme olaylarının seçiminde çekirdek içerisindeki olaylar veya güç dağılımındaki anormal değişimler ile ısı uzaklaştırmadaki değişimler özellikle belirtilmektedir. :contentReference[oaicite:4]{index=4}

Soğutma ve ısı uzaklaştırma olayları

Nükleer tesislerde güvenlik açısından temel konulardan biri, reaktör durdurulduktan sonra dahi ortaya çıkmaya devam eden artık ısının uzaklaştırılmasıdır. Bu nedenle soğutma kapasitesinin azalması veya kaybolması, güvenlik değerlendirmelerinde önemli bir olay grubu oluşturur.

Değerlendirme sırasında yalnızca ana soğutma sisteminin davranışına bakılmaz. Gerekli güvenlik fonksiyonunun sürdürülebilmesi için ihtiyaç duyulan pompalar, enerji kaynakları, ölçüm ve kontrol sistemleri ile diğer destek sistemlerinin de kullanılabilirliği dikkate alınır.

Böylece görünürde basit bir "soğutma kaybı" olayının aslında birçok sistem arasındaki bağımlılığı içeren daha geniş bir güvenlik problemi olduğu ortaya çıkar.

Basınç ve akışkan sınırlarını zorlayan olaylar

Reaktör ve ilgili sistemlerde basınç ile akışkanların kontrol altında tutulması da temel güvenlik konularından biridir. Basınçtaki veya akışkan tutma koşullarındaki anormal değişimler, güvenlik açısından önemli sınırların zorlanmasına neden olabilir.

Bu nedenle değerlendirmelerde basınç değişimleri, akış koşulları, ilgili yapı ve ekipmanların dayanımı ve gerekli koruma fonksiyonlarının zamanında devreye girmesi birlikte incelenir. Kaynak doküman da anormal işletme olaylarının seçiminde soğutucu basıncındaki veya soğutucunun tutulmasındaki anormal değişimleri ayrı bir değerlendirme alanı olarak tanımlamaktadır. :contentReference[oaicite:5]{index=5}

Radyoaktif madde salımı açısından olaylar

Daha ciddi kaza analizlerinde önemli sorulardan biri, radyoaktif maddelerin tesis içerisinde nasıl tutulacağı ve fiziksel bariyerlerin nasıl korunacağıdır.

Burada değerlendirme yalnızca "salım oldu mu?" şeklinde yapılmaz. Olayın hangi bariyerleri zorlayabileceği, bariyerlerin bütünlüğünün nasıl korunacağı, güvenlik sistemlerinin olayın ilerlemesini nasıl sınırlayacağı ve gerekli olması halinde radyolojik sonuçların nasıl değerlendirileceği birlikte ele alınır.

Kaynak dokümanda kaza olaylarının seçiminde soğutucu kaybı veya soğutma durumundaki önemli değişiklikler, reaktivitedeki anormal artışlar, radyoaktif madde salımı ve muhafaza atmosferindeki basınç veya diğer koşulların anormal değişimleri örnek olay grupları olarak verilmektedir. :contentReference[oaicite:6]{index=6}

Dış tehlikeler de olay dizisinin bir parçasıdır

Güvenlik değerlendirmesi yalnızca tesisin kendi içerisindeki arızaları ele almaz. Deprem, sel, tsunami, aşırı meteorolojik koşullar veya insan kaynaklı dış olaylar gibi tehlikeler de başlangıç olayı oluşturabilir.

Dış tehlikelerin özelliği, aynı anda birden fazla güvenlik sistemini etkileyebilmesidir. Örneğin tek bir dış olayın elektrik sistemlerini, kontrol altyapısını, mekanik ekipmanları veya fiziksel yapıların bir bölümünü aynı anda etkilemesi mümkündür. Bu nedenle dış tehlikeler değerlendirilirken yalnızca olayın büyüklüğü değil, tesis üzerindeki ortak etkisi ve savunma derinliğinin tamamına yayılabilecek sonuçları da dikkate alınır.

Her olay aynı ayrıntı düzeyinde analiz edilmez

Güvenlik değerlendirmesinde olayların seçilmesi ile olayların analiz edilmesi birbirinden farklı aşamalardır. Öncelikle güvenlik açısından anlamlı olaylar belirlenir. Daha sonra bu olayların tesisin güvenliği açısından temsil edici olup olmadığı ve hangi analiz yönteminin uygulanacağı belirlenir.

Bazı olaylar benzer fiziksel sonuçlar doğurabileceğinden, değerlendirme açısından temsil edici bir olay üzerinden daha ayrıntılı analiz yapılabilir. Bazı olaylar ise farklı bir güvenlik fonksiyonunu veya farklı bir fiziksel süreci zorladığından ayrıca incelenebilir.

Buradaki amaç analiz sayısını artırmak değil, güvenlik açısından önemli fiziksel davranışların ve savunma mekanizmalarının yeterli biçimde kapsanmasını sağlamaktır.

Böylece güvenlik değerlendirmesi, yalnızca uzun bir kaza senaryoları listesine dönüşmez. Her olay, tesisin fiziksel davranışı ve güvenlik fonksiyonlarıyla ilişkilendirilir. Bir sonraki aşama ise seçilen bu olayların zaman içerisinde nasıl geliştiğini ve tesisin bunlara nasıl tepki verdiğini hesaplamaktır.

Güvenlik analizinde birçok senaryo bir başlangıç olayı ile başlatılır. Başlangıç olayı, tesisin normal işletme durumundan ayrılmasına ve güvenlik açısından değerlendirilmesi gereken yeni bir duruma geçmesine neden olan olaydır.

Bu olay bir ekipmanın arızalanması, bir boru veya akışkan sınırının bütünlüğünün bozulması, bir elektrik beslemesinin kaybedilmesi, bir kontrol fonksiyonunun kullanılamaması veya tesis dışından kaynaklanan bir tehlikenin ortaya çıkması şeklinde olabilir. Kaynak dokümanda da ekipmanların tekil arızaları, mekanik hatalar ve tekil operatör hataları anormal işletme durumlarına yol açabilecek başlangıç olayları arasında ele alınmaktadır. :contentReference[oaicite:1]{index=1}

Başlangıç olayı ile kaza aynı şey değildir

Güvenlik analizlerinde yapılması gereken en önemli ayrımlardan biri, başlangıç olayının meydana gelmesi ile kazanın ortaya çıkmasının aynı şey olmadığıdır. Başlangıç olayı, olay dizisinin başlangıç noktasını oluşturur; olayın bundan sonraki gelişimi ise tesisin tasarımına ve güvenlik fonksiyonlarının nasıl çalıştığına bağlıdır.

Örneğin bir ekipmanın devre dışı kalması tek başına ciddi bir kaza anlamına gelmez. Eğer aynı güvenlik fonksiyonunu gerçekleştirebilen yeterli ve bağımsız başka düzenlemeler mevcutsa, olay kontrol altına alınabilir ve tesis güvenli işletme durumuna geri dönebilir.

Buna karşılık başlangıç olayının başka sistemlerin kullanılabilirliğini de etkilemesi veya gerekli güvenlik fonksiyonlarının yeterli biçimde gerçekleştirilememesi durumunda olay daha ileri bir duruma gelişebilir. Bu nedenle güvenlik analizinin amacı yalnızca başlangıç olayını tanımlamak değil, bu olaydan sonra tesisin nasıl davrandığını ortaya koymaktır.

Başlangıç olayları nasıl ortaya çıkabilir?

Başlangıç olayları farklı kaynaklardan ortaya çıkabilir. Bunların bir bölümü tesisin kendi sistemlerinden kaynaklanırken, bir bölümü insan faaliyetleri veya tesis dışındaki doğal ve insan kaynaklı tehlikeler nedeniyle meydana gelebilir.

Başlangıç olayı neden dikkatle seçilmelidir?

Bir güvenlik analizinin sonucu, başlangıç koşullarının doğru tanımlanmasına doğrudan bağlıdır. Olayın büyüklüğü, başlangıç koşulları, hangi sistemlerin kullanılabilir olduğu ve hangi güvenlik fonksiyonlarının gerekli olduğu analiz sonuçlarını etkileyebilir.

Bu nedenle başlangıç olayının belirlenmesi yalnızca olayın adını yazmak anlamına gelmez. Olayın tesis üzerinde oluşturabileceği fiziksel değişimler de tanımlanmalıdır. Örneğin bir soğutma sisteminin kaybı söz konusuysa yalnızca "pompa durdu" denmez; bunun sonucunda akışın nasıl değişeceği, ısı uzaklaştırmanın nasıl etkileneceği ve hangi güvenlik fonksiyonlarının gerekli olacağı da analiz edilir.

Böylece başlangıç olayı, güvenlik analizinin sonraki bütün adımlarını birbirine bağlayan bir referans noktası haline gelir.

Tek bir başlangıç olayı bir olay dizisine dönüşebilir

Başlangıç olayından sonra tesisin davranışı tek bir adımda gerçekleşmez. Olayın etkileri zaman içerisinde gelişebilir. Bir sistemin devre dışı kalması başka bir sistemin devreye girmesine neden olabilir; bazı güvenlik fonksiyonları otomatik olarak gerçekleştirilebilirken bazı durumlarda işletme personelinin müdahalesi gerekebilir.

Bu nedenle güvenlik analizinde başlangıç olayından sonraki olay dizisi de incelenir. Hangi sistemlerin çalıştığı, hangi sistemlerin kullanılamadığı, hangi güvenlik fonksiyonlarının gerçekleştirildiği ve olayın güvenli bir duruma mı yoksa daha ciddi bir duruma mı ilerlediği zaman içerisindeki gelişimiyle birlikte değerlendirilir.

Başlangıç olayından güvenlik analizine

Başlangıç olayı belirlendikten sonra analiz artık daha somut bir soruya dönüşür: "Bu olay gerçekleşirse tesis ne yapacak?"

Bunun için olayın tesis üzerindeki fiziksel etkileri belirlenir; gerekli güvenlik fonksiyonları ortaya konur; bu fonksiyonları gerçekleştiren sistemlerin ve destek sistemlerinin kullanılabilirliği değerlendirilir. Ardından tesisin belirlenen kabul kriterlerini karşılayıp karşılamadığı incelenir.

Bu yaklaşım, başlangıç olayını bir sonraki bölümde ele alınacak deterministik güvenlik analizinin doğal başlangıç noktası haline getirir.

Güvenlik değerlendirmesinde temel soru, tek tek ekipmanların çalışıp çalışmadığı değildir. Asıl soru, tesis için gerekli güvenlik fonksiyonlarının başlangıç olayı ve olayın gelişimi boyunca korunup korunamadığıdır.

Bir pompa, vana, ölçüm cihazı, elektrik kaynağı veya kontrol sistemi kendi başına nihai güvenlik hedefi değildir. Bu ekipmanların önemi, bir güvenlik fonksiyonunun gerçekleştirilmesine ne ölçüde katkı sağladıklarıyla belirlenir.

Bu yaklaşım, güvenlik analizinin ekipman merkezli değil, fonksiyon merkezli yapılmasını sağlar. Çünkü aynı güvenlik fonksiyonu birden fazla sistem veya ekipman tarafından gerçekleştirilebilir. Tersine, tek bir ekipman birden fazla güvenlik fonksiyonunun gerçekleştirilmesi için kritik olabilir.

Temel güvenlik fonksiyonları

Bir reaktör tesisinin güvenlik değerlendirmesinde hangi fonksiyonların esas alınacağı tesisin tasarımına ve ilgili düzenleyici gerekliliklere bağlıdır. Bununla birlikte, reaktör güvenliğinin değerlendirilmesinde üç temel işlev özellikle önem taşır: reaktörün durdurulması, artık ısının uzaklaştırılması ve radyoaktif maddelerin tutulmasının sağlanması.

Bir olay hangi güvenlik fonksiyonunu zorlar?

Başlangıç olayı belirlendikten sonra ilk sorulardan biri, hangi güvenlik fonksiyonlarının gerekli hale geleceğidir. Çünkü farklı olaylar tesisin farklı fiziksel süreçlerini zorlayabilir.

Örneğin bir soğutma kapasitesi kaybında temel sorun ısının yeterince uzaklaştırılamaması olabilir. Bu durumda analiz, soğutma fonksiyonunun ne kadar süreyle korunabildiğine, hangi sistemlerin bu fonksiyonu gerçekleştirdiğine ve bu sistemlerin hangi desteklere ihtiyaç duyduğuna odaklanır.

Benzer şekilde bir reaktivite değişiminde reaktörün durdurulması ve gücün kontrol edilmesi ön plana çıkabilir. Bir fiziksel bariyerin bütünlüğünü zorlayan bir olayda ise radyoaktif maddelerin tutulması ve salımın sınırlandırılması temel değerlendirme konusu haline gelebilir.

Bir güvenlik fonksiyonu tek bir ekipmana bağlı değildir

Güvenlik fonksiyonlarının değerlendirilmesinde önemli bir nokta da bir fonksiyonun tek bir ekipmanın başarısına indirgenmemesidir. Güvenlik açısından önemli bir fonksiyonun gerçekleştirilebilmesi için birden fazla sistem, ekipman ve destek hizmetinin birlikte çalışması gerekebilir.

Örneğin bir soğutma fonksiyonunun gerçekleştirilebilmesi yalnızca bir pompanın çalışmasına bağlı olmayabilir. Pompanın yanında elektrik beslemesi, kontrol ve ölçüm sistemleri, akışkan yolları ve diğer destek düzenlemeleri de gerekli olabilir.

Bu nedenle analiz sırasında bir güvenlik fonksiyonunun uçtan uca nasıl gerçekleştirildiği incelenir. Fonksiyonun herhangi bir aşamasındaki kayıp, nihai güvenlik sonucunu etkileyebileceğinden görünürde yardımcı olan sistemler de güvenlik değerlendirmesinin kapsamına girebilir.

Fonksiyonun kendisi kadar bağımlılıkları da önemlidir

Bir güvenlik fonksiyonunun kağıt üzerinde birden fazla sistem tarafından gerçekleştirilebilmesi, gerçek anlamda yeterli yedeklilik bulunduğu anlamına gelmez. Bu sistemlerin ortak bir enerji kaynağına, ortak bir kontrol altyapısına, ortak bir destek sistemine veya ortak bir fiziksel ortama bağımlı olması durumunda tek bir olay birden fazla sistemi aynı anda etkileyebilir.

Bu nedenle güvenlik değerlendirmesi sırasında yalnızca sistemlerin sayısı değil, aralarındaki bağımlılıklar ve bağımsızlık düzeyi de incelenir. Bu yaklaşım, önceki bölümlerde ele alınan yedeklilik, çeşitlilik, bağımsızlık ve ortak nedenli arıza kavramlarının güvenlik fonksiyonlarıyla doğrudan bağlantısını kurar.

Güvenlik fonksiyonunun zaman boyutu vardır

Bir güvenlik fonksiyonunun yalnızca mevcut olması yeterli değildir. Fonksiyonun doğru zamanda, yeterli kapasiteyle ve gerekli süre boyunca gerçekleştirilebilmesi gerekir.

Örneğin bir olayın ilk saniyelerinde gerekli olan koruyucu işlev ile olayın daha sonraki aşamalarında gerekli olan ısı uzaklaştırma veya durum izleme işlevi aynı zaman gereksinimlerine sahip olmayabilir.

Bu nedenle güvenlik analizlerinde olayın zamana bağlı gelişimi dikkate alınır. Güvenlik fonksiyonunun ne zaman gerekli olduğu, hangi sistemin ne zaman devreye girdiği ve varsa insan müdahalesinin hangi zaman aralığında gerçekleştirilebileceği değerlendirilir.

Bir ekipmanın önemi buradan anlaşılır

Bir pompanın veya vananın güvenlik açısından önemli olup olmadığını yalnızca fiziksel büyüklüğüne, kapasitesine veya karmaşıklığına bakarak belirlemek doğru değildir. Asıl soru, bu ekipmanın arızalanmasının hangi güvenlik fonksiyonunu etkileyebileceğidir.

Aynı şekilde küçük görünen bir ölçüm veya kontrol elemanı, güvenlik açısından kritik bir kararın alınması için gerekli bilgiyi sağlıyorsa önemli hale gelebilir. Tersine, büyük ve karmaşık bir ekipman güvenlik fonksiyonuna doğrudan katkı sağlamıyorsa farklı bir güvenlik önemi taşıyabilir.

Böylece güvenlik sınıflandırması ve güvenlik açısından önemli yapı, sistem ve bileşenlerin belirlenmesi için de sağlam bir temel oluşturulur.

Güvenlik fonksiyonlarından kabul kriterlerine

Güvenlik fonksiyonları belirlendikten sonra analiz bir sonraki aşamaya geçer: Bu fonksiyonlar yeterli biçimde gerçekleştirildiğinde tesisin güvenlik açısından kabul edilebilir durumda olduğu nasıl gösterilecek?

Bu sorunun cevabı kabul kriterleriyle ilişkilidir. Örneğin bir olay sırasında belirli sıcaklık, basınç, yakıt bütünlüğü veya radyolojik sonuçların kabul edilebilir sınırlar içinde tutulması gerekebilir. Bu sınırların nasıl belirlendiği ve analiz sonuçlarının bunlarla nasıl karşılaştırıldığı sonraki bölümlerde ayrıntılı olarak ele alınacaktır.

Sonuç olarak güvenlik fonksiyonları, başlangıç olayı ile güvenlik değerlendirmesinin nihai sonucu arasındaki temel bağlantıyı oluşturur. Olay ne olursa olsun temel mühendislik sorusu değişmez: Tesisin güvenliğini korumak için hangi fonksiyonların gerçekleştirilmesi gerekiyor ve bu fonksiyonlar olay boyunca gerçekten sürdürülebiliyor mu?

Deterministik güvenlik analizi, belirli bir başlangıç olayı ve önceden tanımlanmış başlangıç koşulları altında tesisin fiziksel davranışının zaman içerisinde nasıl gelişeceğinin hesaplanmasına dayanır.

Analizin temelinde "bu olay gerçekleşirse tesis ne yapar?" sorusu bulunur. Bunun için olayın başlangıç koşulları, tesisin işletme durumu, kullanılabilir güvenlik sistemleri, kullanılamayan ekipmanlar, operatör müdahaleleri ve olayın fiziksel gelişimi birlikte değerlendirilir.

Deterministik ne demektir?

"Deterministik" yaklaşımda analiz için belirli bir olay, başlangıç koşulları ve varsayımlar tanımlanır ve bu koşullar altında tesisin nasıl davranacağı hesaplanır. Başka bir ifadeyle analiz, belirsiz bir olasılık dağılımını doğrudan hesaplamaktan ziyade, tanımlanmış bir olayın fiziksel sonuçlarını ortaya koymaya çalışır.

Örneğin belirli bir soğutma kaybı senaryosu ele alındığında, analiz bu olayın meydana gelmesinden sonra basınç, sıcaklık, akış, güç ve diğer önemli parametrelerin zaman içerisindeki değişimini hesaplayabilir. Daha sonra güvenlik sistemlerinin devreye girmesiyle bu parametrelerin nasıl değiştiği değerlendirilir.

Bu nedenle deterministik analiz, "kaza kesin olarak böyle gerçekleşir" anlamına gelmez. Analiz, belirlenmiş varsayımlar altında tesisin fiziksel davranışını inceleyen bir mühendislik yöntemidir.

Analiz bir olay senaryosu ile başlar

Deterministik analizde ilk adım, daha önceki bölümde ele alınan başlangıç olayının açık biçimde tanımlanmasıdır. Olayın başlangıç anındaki tesis durumu ve analiz için gerekli başlangıç parametreleri belirlenir.

Bunun ardından olayın tesiste oluşturacağı fiziksel değişimler incelenir. Örneğin bir akışkan kaybı söz konusuysa akış koşullarındaki değişim; bir güç değişimi söz konusuysa reaktör gücündeki değişim; bir enerji kaybı söz konusuysa kullanılabilir sistemlerin durumundaki değişim analiz kapsamına alınabilir.

Hangi koşullar varsayılır?

Güvenlik analizinin sonucu, yalnızca kullanılan hesaplama programına değil, analizde kabul edilen başlangıç koşullarına ve varsayımlara da bağlıdır. Bu nedenle analiz yapılırken tesisin hangi işletme durumunda bulunduğu, hangi ekipmanların kullanılabilir olduğu ve hangi ekipmanların kullanılamadığı açık biçimde tanımlanmalıdır.

Bunun yanında olayın farklı işletme durumlarında veya farklı başlangıç koşullarında farklı sonuçlar doğurabileceği de dikkate alınabilir. Yakıtın işletme geçmişi, tesisin güç durumu, bakım veya devre dışı bırakılmış ekipmanlar gibi koşullar analiz kapsamını etkileyebilir.

Bu nedenle güvenlik analizi yalnızca tek bir "ortalama" çalışma koşuluna göre yapılmaz. Güvenlik açısından anlamlı farklı başlangıç durumlarının gerektiğinde değerlendirilmesi gerekir.

Güvenlik sistemleri analizin içinde nasıl ele alınır?

Başlangıç olayı tanımlandıktan sonra tesisin güvenlik sistemlerinin olay karşısındaki tepkisi hesaplamaya dahil edilir. Hangi sistemin hangi koşulda devreye gireceği, hangi güvenlik fonksiyonunu gerçekleştireceği ve olayın gelişimini nasıl etkileyeceği değerlendirilir.

Ancak analizde güvenlik sistemlerinin var olması tek başına yeterli kabul edilmez. Bu sistemlerin gerekli anda çalışıp çalışamayacağı, gerekli kapasiteyi sağlayıp sağlayamayacağı ve ihtiyaç duydukları destek sistemlerinin kullanılabilir olup olmadığı da değerlendirilir.

Bu nedenle deterministik analiz, bir önceki bölümde ele alınan güvenlik fonksiyonları kavramıyla doğrudan bağlantılıdır.

Tek hata varsayımı

Güvenlik değerlendirmelerinde önemli yaklaşımlardan biri, güvenlik açısından gerekli bir fonksiyonun gerçekleştirilmesi sırasında belirli bir tekil arızanın meydana gelebileceğinin dikkate alınmasıdır.

Bunun amacı, tesisin güvenliğinin tek bir ekipmanın kusursuz çalışmasına bağımlı olmadığını göstermektir. Analiz sırasında ilgili güvenlik fonksiyonunu etkileyebilecek varsayılan arızanın sonuçları incelenir ve diğer güvenlik düzenlemelerinin yeterliliği değerlendirilir.

Ancak iki ekipmanın bulunması otomatik olarak gerçek yedeklilik anlamına gelmez. Ortak bir enerji kaynağı, kontrol sistemi, destek sistemi veya ortak fiziksel koşul iki ekipmanı aynı anda etkileyebilir. Bu nedenle tek hata yaklaşımı, bağımsızlık ve ortak nedenli arıza değerlendirmeleri ile birlikte ele alınmalıdır.

Operatör müdahalesi de analiz edilir

Bazı olaylarda tesisin güvenli duruma geçirilmesi için işletme personelinin müdahalesi gerekebilir. Böyle bir müdahalenin güvenlik değerlendirmesinde dikkate alınabilmesi için gerekli bilgi, gösterge, prosedür ve zaman koşullarının uygunluğu değerlendirilmelidir.

Özellikle olayın başlangıcından sonra çok kısa bir zaman içerisinde gerçekleştirilmesi gereken bir işlem ile daha sonraki aşamalarda yapılabilecek bir işlem aynı şekilde değerlendirilmez. Bu nedenle insan müdahalesinin zamanlaması ve müdahalenin gerçekleşebilmesi için gerekli koşullar analiz kapsamında önem taşır.

Analiz zaman içerisinde ilerler

Deterministik güvenlik analizi yalnızca başlangıç ve son durumun karşılaştırılması değildir. Olayın gelişimi boyunca tesis parametrelerinin nasıl değiştiği incelenir.

Örneğin bir olay sırasında sıcaklık veya basınç önce yükselip daha sonra güvenlik sistemlerinin devreye girmesiyle azalabilir. Bu nedenle yalnızca nihai değere bakmak yeterli değildir. Parametrenin ne zaman en yüksek değere ulaştığı, ne kadar süre kritik koşullarda kaldığı ve güvenlik fonksiyonunun ne zaman etkili olduğu de önemlidir.

Sonuçlar nasıl değerlendirilir?

Deterministik analiz sonucunda çok sayıda fiziksel parametrenin zaman içerisindeki değişimi elde edilebilir. Ancak bu sonuçların tek başına anlamı yoktur. Sonuçların önceden belirlenmiş kabul kriterleri ve güvenlik hedefleriyle karşılaştırılması gerekir.

Örneğin bir analiz sonucunda belirli bir ekipmanın sıcaklığının yükseldiği görülüyorsa yalnızca "sıcaklık yükseldi" demek yeterli değildir. Bu sıcaklığın ekipmanın güvenli çalışma sınırları içerisinde kalıp kalmadığı, ilgili güvenlik fonksiyonunun korunup korunmadığı ve olayın daha ileri sonuçlara yol açıp açmadığı değerlendirilmelidir.

Model ve hesaplama yönteminin güvenilirliği

Deterministik analizde kullanılan matematiksel modeller, fiziksel bağıntılar, bilgisayar programları ve giriş parametreleri de değerlendirilmelidir. Çünkü güvenlik değerlendirmesinin güvenilirliği, yalnızca sonuçların hesaplanmasına değil, bu sonuçların hangi yöntem ve varsayımlarla elde edildiğine de bağlıdır.

Bu nedenle kullanılan hesaplama yöntemlerinin uygunluğu, modellerin doğrulanması, gerekli durumlarda deneysel veya karşılaştırmalı çalışmalarla desteklenmesi ve giriş parametrelerinin güvenilirliği önem taşır.

Ayrıca model ve parametrelerdeki belirsizlikler tamamen ortadan kaldırılamayacağından, analiz sonuçlarının değerlendirilmesinde uygun güvenlik marjlarının dikkate alınması gerekir.

Deterministik analiz neyi göstermeye çalışır?

İyi hazırlanmış bir deterministik analiz, yalnızca bir olay sonrasında ortaya çıkan sıcaklık, basınç veya güç değerlerini listelemez. Tesisin olay karşısındaki fiziksel davranışını ve güvenlik fonksiyonlarının bu davranışı nasıl kontrol ettiğini ortaya koyar.

Bu nedenle analiz sonucunda şu soruların cevaplanabilmesi beklenir:

• Başlangıç olayı tesisin durumunu nasıl değiştirdi?
• Hangi güvenlik fonksiyonları gerekli hale geldi?
• Bu fonksiyonları hangi sistemler gerçekleştirdi?
• Güvenlik sistemleri doğru zamanda devreye girdi mi?
• Varsayılan arızalar altında güvenlik fonksiyonları korunabildi mi?
• Önemli fiziksel parametreler kabul edilebilir sınırlar içinde kaldı mı?
• Tesis güvenli bir duruma geçebildi mi?

Böylece deterministik analiz, başlangıç olayı ile güvenlik değerlendirmesinin nihai sonucu arasındaki teknik köprüyü oluşturur. Bir sonraki adım, hesaplanan sonuçların hangi sınırlar içerisinde kabul edilebilir olduğunun belirlenmesidir. Bu konu, güvenlik değerlendirmesinin temel araçlarından biri olan kabul kriterleriyle birlikte ele alınacaktır.

Bir deterministik güvenlik analizinde fiziksel sonuçların hesaplanması tek başına yeterli değildir. Hesaplanan sonuçların güvenlik açısından kabul edilebilir olup olmadığının belirlenebilmesi için önceden tanımlanmış kabul kriterlerine ihtiyaç vardır.

Kabul kriterleri, belirli bir olay sırasında tesisin hangi fiziksel ve radyolojik koşullar içerisinde kalmasının güvenlik açısından yeterli kabul edileceğini tanımlar. Böylece analiz sonucunun yalnızca mühendislik yorumu ile değil, önceden belirlenmiş ve gerekçelendirilmiş ölçütlerle değerlendirilmesi mümkün olur.

Kabul kriteri nedir?

En basit ifadeyle kabul kriteri, bir güvenlik değerlendirmesinde belirli bir parametrenin veya sonucun hangi koşullar altında kabul edilebilir sayılacağını tanımlayan ölçüttür.

Örneğin bir kaza senaryosunda yakıt sıcaklığı, sistem basıncı, soğutma kapasitesi veya radyolojik sonuç hesaplanabilir. Ancak hesaplanan değerin güvenlik açısından anlamlı olabilmesi için bu değerin hangi sınırla veya hangi güvenlik hedefiyle karşılaştırılacağı bilinmelidir.

Bu nedenle kabul kriterleri analizden sonra rastgele seçilen sınırlar değildir. Tasarım gerekleri, güvenlik hedefleri, fiziksel sınırlar ve düzenleyici gerekliliklerle ilişkilendirilmiş önceden belirlenmiş ölçütlerdir.

Kabul kriterleri neden gereklidir?

Aynı analiz sonucu farklı kişiler tarafından farklı şekilde yorumlanabilir. Örneğin bir ekipmanın sıcaklığının yükselmesi tek başına güvenli veya güvensiz olduğu anlamına gelmez. Önemli olan sıcaklığın ilgili ekipmanın güvenlik açısından kabul edilebilir sınırlarını aşıp aşmadığıdır.

Kabul kriterleri bu tür öznel değerlendirmelerin azaltılmasına yardımcı olur. Analizin başında belirlenen ölçütler, analiz tamamlandığında sonuçların sistematik biçimde değerlendirilmesini sağlar.

Hangi sonuçlar için kabul kriterleri kullanılır?

Kabul kriterleri tek bir fiziksel parametreyle sınırlı değildir. Değerlendirilen olayın türüne ve ilgili güvenlik fonksiyonuna bağlı olarak farklı sonuçlar dikkate alınabilir.

• Yakıt bütünlüğü: Yakıtın ve yakıt kaplamasının güvenlik açısından kabul edilebilir koşullar içerisinde kalması.
• Isı uzaklaştırma: Oluşan ısının yeterli biçimde uzaklaştırılabilmesi ve gerekli soğutma fonksiyonunun sürdürülebilmesi.
• Basınç sınırları: İlgili basınç taşıyan yapı ve ekipmanların güvenlik açısından kabul edilebilir koşullarda tutulması.
• Soğutma koşulları: Güvenlik açısından gerekli soğutma fonksiyonlarının olay boyunca korunabilmesi.
• Radyoaktif maddelerin tutulması: Radyoaktif maddelerin fiziksel bariyerler ve ilgili muhafaza düzenlemeleri içerisinde tutulmasının sürdürülebilmesi.
• Koruyucu yapıların bütünlüğü: Güvenlik açısından önemli yapıların ve bariyerlerin gerekli işlevlerini sürdürebilmesi.
• Radyolojik sonuçlar: Olay sonucunda ortaya çıkabilecek radyolojik etkilerin ilgili güvenlik hedefleri ve düzenleyici kriterler içerisinde kalması.

Her olay için aynı kabul kriteri kullanılmaz

Bir olayın türü değiştiğinde tesis üzerindeki fiziksel etkiler ve gerekli güvenlik fonksiyonları da değişebilir. Bu nedenle bütün olaylar için aynı kabul kriterlerinin kullanılması beklenmez.

Örneğin reaktör gücünde beklenmeyen bir değişimin değerlendirilmesinde reaktörün kontrol edilebilirliği, güç dağılımı ve yakıt üzerindeki etkiler önem kazanabilir. Bir soğutma kaybı senaryosunda ise ısı uzaklaştırma, yakıtın soğutulması ve ilgili basınç sınırlarının korunması daha belirleyici olabilir.

Dolayısıyla kabul kriteri seçimi, "hangi olay gerçekleşti?" sorusundan sonra "bu olay hangi güvenlik fonksiyonlarını zorluyor?" sorusuyla birlikte ele alınır.

Kabul kriteri yalnızca bir sayı değildir

"Kabul kriteri" denildiğinde yalnızca tek bir sayısal sınır düşünülmemelidir. Bazı kriterler bir fiziksel büyüklüğün belirli bir sınırın altında kalması şeklinde ifade edilirken, bazıları bir güvenlik fonksiyonunun sürdürülebilmesi veya belirli bir fiziksel bariyerin bütünlüğünün korunması gibi işlevsel koşullarla ilişkilidir.

Örneğin bir güvenlik sisteminin belirli bir süre boyunca gerekli kapasiteyi sağlayabilmesi bir kabul koşulu olabilir. Burada yalnızca sistemin çalışıp çalışmadığı değil, ne zaman devreye girdiği, ne kadar süre çalıştığı ve gerekli kapasiteyi sağlayıp sağlamadığı önemlidir.

Fiziksel sınır ile güvenlik kriteri aynı şey değildir

Bir ekipmanın veya malzemenin fiziksel olarak dayanabileceği sınır ile güvenlik değerlendirmesinde kullanılan kabul kriteri her zaman aynı kavram değildir.

Güvenlik değerlendirmesinde amaç yalnızca malzemenin fiziksel olarak kırılmadığını göstermek değildir. İlgili güvenlik fonksiyonunun korunması, yakıtın bütünlüğünün sürdürülmesi, radyoaktif maddelerin tutulması ve olayın daha ciddi sonuçlara ilerlemesinin önlenmesi birlikte değerlendirilir.

Bu nedenle kabul kriterleri, tesisin yalnızca tek bir ekipmanının dayanımını değil, güvenlik mimarisinin olay karşısındaki yeterliliğini değerlendiren daha geniş bir çerçevenin parçasıdır.

Kriterlerin arkasında güvenlik hedefleri bulunur

Kabul kriterlerinin kendisi de daha temel güvenlik hedeflerine dayanır. Örneğin yakıt bütünlüğünün korunması, radyoaktif maddelerin kontrol altında tutulması ve halkın radyolojik riskten korunması gibi hedefler birbiriyle bağlantılıdır.

Bu nedenle güvenlik değerlendirmesinde kullanılan kriterleri birbirinden tamamen bağımsız sınırlar olarak düşünmek yerine, savunma derinliğinin farklı katmanlarını destekleyen ölçütler olarak görmek daha doğru olur.

Kabul kriterlerinin sayısal değerleri neden değişebilir?

Nükleer tesislerde kullanılan kabul kriterlerinin bütün ülkelerde ve bütün reaktör tasarımlarında aynı sayısal değerlerden oluşması beklenmez. Kriterler; tesisin tasarımına, değerlendirilen olayın kategorisine, kullanılan güvenlik yaklaşımına ve ilgili düzenleyici çerçeveye bağlı olarak farklılaşabilir.

Bu nedenle belirli bir reaktör tasarımında kullanılan bir sayısal sınırın başka bir tasarım için doğrudan evrensel bir kriter olarak kabul edilmesi doğru değildir.

Önemli olan, kullanılan kriterlerin teknik olarak gerekçelendirilmiş, güvenlik hedefleriyle uyumlu ve ilgili düzenleyici gerekliliklerle tutarlı olmasıdır.

Kabul kriteri karşılanmazsa ne olur?

Bir analiz sonucunun kabul kriterlerinden birini karşılamaması, doğrudan "tesis kesinlikle güvensizdir" şeklinde yorumlanmamalıdır. Öncelikle sonucun neden kriteri karşılamadığı araştırılır.

Bunun nedeni bir tasarım yetersizliği, bir sistemin performansının beklenenden düşük olması, analiz varsayımlarının uygunsuzluğu, model veya parametre belirsizliği ya da başka bir güvenlik açığı olabilir.

Bu durumda analiz yeniden incelenebilir; kullanılan varsayımlar ve modeller doğrulanabilir ve gerekli görülürse tasarım, sistem performansı veya işletme yaklaşımı yeniden değerlendirilebilir.

Güvenlik marjı neden önemlidir?

Gerçek bir nükleer tesisin davranışı hiçbir zaman bütün parametreleri tam olarak bilinen ideal bir matematiksel sistem değildir. Malzeme özellikleri, ölçüm değerleri, çevresel koşullar, modelleme yöntemleri ve ekipman performanslarında belirsizlikler bulunabilir.

Bu nedenle güvenlik değerlendirmesinde yalnızca hesaplanan nominal sonuca bakılması yeterli değildir. İlgili belirsizlikler dikkate alınmalı ve gerektiğinde uygun güvenlik marjları kullanılmalıdır.

Güvenlik marjı, tasarımın veya analiz sonucunun kabul kriterine ne kadar yakın olduğunu anlamak açısından da önemlidir. Bir sonuç kriterin hemen altında olabilir; başka bir sonuç ise aynı kriterden oldukça uzakta bulunabilir. Her iki sonuç biçimsel olarak kabul edilebilir olsa da güvenlik açısından taşıdıkları marj aynı değildir.

Kabul kriterleri ile güvenlik fonksiyonları arasındaki ilişki

Önceki bölümde görüldüğü gibi güvenlik değerlendirmesinin merkezinde güvenlik fonksiyonları bulunur. Kabul kriterleri de bu fonksiyonların olay sırasında yeterli olup olmadığını değerlendirmeye yardımcı olur.

Örneğin bir olay sırasında gerekli güvenlik fonksiyonu artık ısının uzaklaştırılması ise, analiz sonucunda yalnızca pompanın çalışıp çalışmadığına bakılmaz. Isının yeterli biçimde uzaklaştırılıp uzaklaştırılamadığı ve bunun sonucunda yakıtın ve ilgili sistemlerin kabul edilebilir koşullarda kalıp kalmadığı değerlendirilir.

Böylece değerlendirme zinciri ekipmandan başlayıp güvenlik fonksiyonuna, oradan fiziksel sonuca ve nihayet kabul kriterine ulaşır.

Deterministik analiz ile kabul kriterlerinin birlikte çalışması

Deterministik güvenlik analizinin temel amacı, belirli bir olay altında tesisin davranışını hesaplamaktır. Kabul kriterleri ise bu hesaplamanın sonucunun güvenlik açısından yeterli olup olmadığını değerlendirmek için kullanılır.

Bu iki unsur birlikte düşünüldüğünde güvenlik değerlendirmesinin temel mantığı açık biçimde ortaya çıkar:

Bu yaklaşım, güvenlik değerlendirmesini yalnızca bilgisayar programlarıyla yapılan bir hesaplama olmaktan çıkarır. Hesaplanan her sonucun hangi güvenlik hedefiyle ilişkili olduğu ve kabul edilebilirliğinin hangi ölçütle belirlendiği açıkça ortaya konur.

Sonuç olarak kabul kriterleri, deterministik güvenlik analizinin değerlendirme aşamasını oluşturur. Hesaplama bize tesisin ne yaptığını gösterirken, kabul kriterleri bu davranışın güvenlik açısından yeterli olup olmadığını değerlendirmemizi sağlar.

Güvenlik değerlendirmesinde yalnızca başlangıç olayının meydana gelmesi değil, olay sırasında güvenlik açısından önemli bir ekipmanın da çalışmaması dikkate alınabilir. Bu yaklaşımın temel amacı, güvenlik fonksiyonlarının tek bir ekipmanın arızasına bağımlı olmadığını göstermektir.

Bu nedenle analizlerde belirli bir başlangıç olayı ile birlikte, güvenlik fonksiyonunun gerçekleştirilmesini etkileyebilecek bir tek hata varsayılabilir. Daha sonra tesisin kalan güvenlik düzenlemelerinin bu arızaya rağmen gerekli güvenlik fonksiyonunu sürdürebilip sürdüremediği değerlendirilir.

Tek hata varsayımı ne anlama gelir?

Tek hata varsayımı, güvenlik açısından gerekli bir fonksiyonun gerçekleştirilmesi sırasında ilgili ekipmanlardan birinin arızalanabileceğinin analizde dikkate alınmasıdır.

Buradaki amaç belirli bir ekipmanın kesinlikle arızalanacağını öngörmek değildir. Amaç, güvenlik fonksiyonunun tek bir ekipmanın kusursuz çalışmasına ne ölçüde bağımlı olduğunu sınamaktır.

Örneğin bir güvenlik fonksiyonunun gerçekleştirilmesi için birden fazla pompa veya birden fazla elektriksel besleme yolu bulunuyorsa, bunlardan birinin kullanılamaz hale gelmesi durumunda kalan düzenlemelerin gerekli fonksiyonu gerçekleştirebilmesi beklenir.

Tek hata neden önemlidir?

Gerçek bir tesiste hiçbir ekipmanın sonsuza kadar hatasız çalışacağı varsayılmaz. Ekipman arızaları, kontrol elemanı arızaları, elektriksel arızalar veya ölçüm kayıpları gibi durumlar tasarım ve işletme sürecinde dikkate alınır.

Güvenlik açısından önemli olan, tek bir arızanın gerekli güvenlik fonksiyonunu tamamen ortadan kaldırıp kaldırmadığıdır. Eğer bir ekipmanın arızalanması güvenlik fonksiyonunun kaybedilmesine doğrudan yol açıyorsa, bu fonksiyonun tasarım açısından ne ölçüde tek bir noktaya bağımlı olduğu yeniden değerlendirilmelidir.

Yedeklilik tek başına yeterli değildir

Bir güvenlik fonksiyonunun birden fazla ekipman tarafından gerçekleştirilebilmesi önemli bir savunma özelliğidir. Buna yedeklilik denir. Ancak yalnızca ekipman sayısını artırmak, güvenlik fonksiyonunun otomatik olarak güvenilir hale geldiği anlamına gelmez.

Örneğin iki pompanın aynı güvenlik fonksiyonunu gerçekleştirdiğini düşünelim. Pompalardan biri arızalandığında diğerinin çalışması beklenebilir. Ancak her iki pompa aynı elektrik kaynağına bağlıysa veya aynı kontrol altyapısına bağımlıysa, ortak bir arıza her iki pompayı da etkileyebilir.

Bu nedenle güvenlik değerlendirmesinde yalnızca "kaç tane ekipman var?" sorusu değil, "bu ekipmanlar birbirinden ne ölçüde bağımsız?" sorusu da sorulur.

Bağımsızlık neden gereklidir?

Güvenlik açısından önemli sistemlerin bağımsızlığı, tek bir arızanın birden fazla güvenlik düzenlemesini aynı anda etkileyebilme ihtimalini azaltır.

Bağımsızlık yalnızca iki ekipmanın farklı odalarda bulunması anlamına gelmez. Elektrik beslemesi, kontrol ve ölçüm sistemleri, yardımcı sistemler, fiziksel yerleşim ve çevresel koşullar gibi ortak bağımlılıklar da değerlendirilmelidir.

Bu nedenle bağımsızlık, güvenlik değerlendirmesinde ekipmanlar arasındaki bağlantıların ve ortak bağımlılıkların incelenmesini gerektirir.

Ortak nedenli arıza

Birden fazla ekipmanın aynı nedenle aynı anda veya birbirini izleyen kısa bir süre içerisinde işlevini kaybetmesine ortak nedenli arıza yaklaşımıyla bakılır.

Böyle bir durumda ekipmanların fiziksel olarak ayrı olması yeterli olmayabilir. Aynı tasarım özelliği, aynı çevresel koşul, ortak bir destek sistemi veya başka bir ortak etken birden fazla ekipmanı etkileyebilir.

Ortak nedenli arızalar bu nedenle klasik yedeklilik yaklaşımının önemli bir sınamasıdır. Birden fazla ekipmanın bulunması, hepsinin aynı anda etkilenemeyeceğini kanıtlamaz.

Çeşitlilik ortak arıza riskini nasıl azaltır?

Yedek ekipmanların tamamen aynı tasarım yaklaşımına sahip olması, bazı ortak hata mekanizmalarının birden fazla ekipmanda ortaya çıkmasına neden olabilir. Bu nedenle bazı güvenlik fonksiyonlarında çeşitlilik de önemli bir tasarım yaklaşımıdır.

Çeşitlilik, aynı güvenlik fonksiyonunun farklı fiziksel prensipler, farklı ekipman türleri veya farklı tasarım yaklaşımları kullanılarak gerçekleştirilebilmesi anlamında düşünülebilir.

Ancak çeşitlilik de tek başına bir garanti değildir. Farklı ekipmanların aynı destek sistemine veya aynı çevresel koşula bağımlı olması halinde ortak bir etki yine ortaya çıkabilir. Bu nedenle çeşitlilik, bağımsızlık ve ortak nedenli arıza değerlendirmesiyle birlikte ele alınmalıdır.

Destek sistemleri de tek hata analizinin parçasıdır

Bir güvenlik fonksiyonunu gerçekleştiren ana ekipmanın çalışabilmesi için çoğu zaman başka sistemlere ihtiyaç vardır. Elektrik, kontrol, ölçüm, soğutma veya yardımcı hizmetler bunlara örnek olarak verilebilir.

Bu nedenle güvenlik değerlendirmesinde ana ekipmanın çalışabilir olduğunu varsaymak yeterli değildir. Ekipmanın ihtiyaç duyduğu destek sistemlerinin de olay sırasında kullanılabilir durumda olup olmadığı değerlendirilmelidir.

Aksi durumda kâğıt üzerinde yedekli görünen iki ekipman, gerçekte aynı destek sistemine bağımlı oldukları için aynı güvenlik fonksiyonunu gerçekleştiremeyebilir.

Tek hata ile ortak nedenli arıza arasındaki fark

Bu iki kavram birbirine yakın görünse de aynı şeyi ifade etmez. Tek hata, belirli bir ekipmanın veya bileşenin arızalanmasının analizde varsayılmasıdır. Ortak nedenli arıza ise birden fazla ekipmanın aynı temel neden nedeniyle etkilenebilmesini ifade eder.

Tek hata yaklaşımı, güvenlik fonksiyonunun tek bir ekipmanın kaybına dayanıklı olup olmadığını sınarken; ortak nedenli arıza değerlendirmesi, görünürdeki yedekliliğin gerçekte aynı nedenden dolayı ortadan kalkıp kalkamayacağını araştırır.

Analizde en kötü makul sonuç neden önemlidir?

Güvenlik değerlendirmesinde tek hata varsayımının hangi ekipmana uygulanacağı gelişigüzel seçilmez. Güvenlik fonksiyonunun yeterliliğini en fazla zorlayabilecek makul durumların belirlenmesi önemlidir.

Böylece analiz, yalnızca ideal çalışma koşullarında güvenlik fonksiyonunun gerçekleştirilebildiğini değil, belirli bir arıza altında da güvenlik fonksiyonunun korunabildiğini göstermeye çalışır.

Burada amaç her türlü hayali arızayı sınırsız biçimde varsaymak değildir. Amaç, ilgili güvenlik gereklilikleri kapsamında tanımlanan varsayımlar altında tasarımın yeterliliğini değerlendirmektir.

Tek hata varsayımı zaman boyutuna da sahiptir

Bir ekipmanın arızalanıp arızalanmadığı kadar, arızanın ne zaman meydana geldiği de bazı olaylarda önem taşıyabilir. Başlangıç olayından hemen sonra meydana gelen bir arıza ile olayın daha sonraki aşamasında meydana gelen bir arızanın tesis üzerindeki etkileri aynı olmayabilir.

Bu nedenle deterministik analizde tek hata varsayımı, olayın zaman içerisindeki gelişimiyle birlikte ele alınır. Güvenlik fonksiyonunun hangi anda gerekli olduğu ve o anda hangi ekipmanların kullanılabilir durumda bulunduğu değerlendirilir.

Tek hata varsayımının temel amacı

Bütün bu değerlendirmelerin ortak amacı, güvenlik açısından gerekli bir fonksiyonun tek bir ekipmanın başarısına bağımlı olmadığını gösterebilmektir.

Bunun için yalnızca ekipman sayısı değil; ekipmanların bağımsızlığı, çeşitliliği, destek sistemleri, enerji kaynakları, kontrol ve ölçüm altyapıları ve ortak nedenli arıza ihtimalleri birlikte değerlendirilir.

Sonuç olarak tek hata varsayımı, nükleer güvenlik değerlendirmesinde tasarımın dayanıklılığını sınayan önemli bir araçtır. Ancak bu yaklaşım yedeklilikten daha geniş bir bakış gerektirir. Yedeklilik, çeşitlilik, bağımsızlık, destek sistemleri ve ortak nedenli arızalar birlikte değerlendirildiğinde güvenlik fonksiyonlarının gerçek dayanıklılığı daha doğru biçimde ortaya konabilir.

Bu yaklaşım bizi bir sonraki önemli konuya götürür: Güvenlik sistemlerinin yalnızca "var olması" değil, olay sırasında gerekli güvenlik fonksiyonunu ne kadar güvenilir biçimde gerçekleştirebildiğinin belirlenmesi gerekir. Bu da güvenlik değerlendirmesinde güvenilirlik ve belirsizliklerin ele alınmasını gündeme getirir.

Nükleer tesislerde güvenlik yalnızca otomatik sistemlerin çalışmasına bırakılmaz. Bazı olaylarda işletme personelinin belirli işlemleri gerçekleştirmesi gerekebilir. Ancak insanın güvenlik açısından kritik bir işlem yapmasının varsayılması, bu işlemin mutlaka doğru ve zamanında gerçekleştirileceği anlamına gelmez.

Bu nedenle güvenlik değerlendirmesinde insan müdahalesi de analiz edilen olay dizisinin bir parçasıdır. Operatörün hangi bilgiyi kullanacağı, bu bilginin ne zaman elde edilebileceği, karar vermek için yeterli zamanın bulunup bulunmadığı ve işlemin uygulanabilir olup olmadığı değerlendirilir.

İnsan müdahalesi neden güvenlik analizinin parçasıdır?

Bir tesisin bazı güvenlik fonksiyonları otomatik olarak gerçekleştirilebilirken, bazı durumlarda işletme personelinin müdahalesi gerekli olabilir. Bu müdahale bir kontrol işlemi, bir sistemin devreye alınması, bir çalışma modunun değiştirilmesi veya tesisin daha güvenli bir duruma geçirilmesiyle ilgili olabilir.

Böyle bir işlemin güvenlik analizinde dikkate alınabilmesi için yalnızca "operatör işlemi yapacaktır" şeklinde bir varsayım yeterli değildir. İşlemin gerçekleştirilebilmesi için gerekli bilgi, zaman, araç, prosedür ve çalışma koşullarının da değerlendirilmesi gerekir.

Böylece insan, analizde belirsiz bir "son çare" olarak değil, tesisin güvenlik mimarisinin belirli koşullarda görev yapan bir unsuru olarak ele alınır.

Operatör hangi bilgiyi görmelidir?

Bir olay sırasında doğru karar verebilmek için işletme personelinin tesisin durumunu yeterli doğrulukta değerlendirebilmesi gerekir. Bunun için güvenlik açısından önemli parametrelerin uygun göstergeler ve alarm düzenlemeleri üzerinden izlenebilmesi önemlidir.

Örneğin bir olay sırasında sıcaklık, basınç, seviye, akış, güç veya başka bir önemli parametrenin izlenmesi gerekiyorsa, bu bilginin operatör tarafından zamanında ve doğru biçimde elde edilebilmesi gerekir.

Burada yalnızca ölçümün mevcut olması yeterli değildir. Bilginin operatöre nasıl sunulduğu, hangi göstergenin veya alarmın hangi durumu temsil ettiği ve olay sırasında gerekli kararın verilebilmesi için yeterli olup olmadığı da önemlidir.

Yeterli zaman neden önemlidir?

İnsan müdahalesinin güvenlik açısından kullanılabilmesi için operatöre gerekli işlemi gerçekleştirebileceği uygun bir zaman aralığının tanınması gerekir.

Olayın başlangıcından sonra bazı fiziksel değişimler çok hızlı gerçekleşebilir. Bazı işlemler ise olayın daha ileri aşamalarında gerçekleştirilebilir. Bu nedenle her manuel işlem için aynı zaman varsayımı kullanılamaz.

Güvenlik değerlendirmesinde önemli olan; olayın başlaması, gerekli bilginin elde edilmesi, durumun değerlendirilmesi, karar verilmesi ve işlemin uygulanması arasındaki zaman ilişkisinin gerçekçi biçimde ele alınmasıdır.

Operatörün karar vermesi de bir süreçtir

İnsan müdahalesi yalnızca fiziksel bir düğmeye basmak veya bir vanayı açmak gibi tek bir hareketten ibaret değildir. Çoğu durumda operatör önce tesisin durumunu anlamalı, ardından uygun işlemi seçmeli ve işlemi gerçekleştirmelidir.

Bu nedenle insan müdahalesi genel olarak algılama → değerlendirme → karar → uygulama aşamalarından oluşan bir süreç olarak düşünülebilir.

Güvenlik analizinde bu sürecin olayın zaman gelişimiyle uyumlu olup olmadığı değerlendirilir. Özellikle çok kısa süre içerisinde gerçekleşen olaylarda, insan müdahalesinin hangi noktada gerçekten mümkün olduğu önem kazanır.

Otomatik sistemler ile insan müdahalesi arasındaki ilişki

Güvenlik açısından önemli bazı işlemlerin otomatik olarak gerçekleştirilmesinin temel nedeni, olayın hızlı gelişmesi halinde insan müdahalesinin yeterince hızlı olamayabileceği durumlardır.

Otomatik koruma sistemleri belirli koşulları algılayarak önceden tanımlanmış güvenlik fonksiyonlarını gerçekleştirebilir. Böylece olayın ilk aşamalarında hızlı bir tepki sağlanabilir.

Ancak otomasyonun bulunması, insanın tamamen devre dışı kaldığı anlamına gelmez. Olayın ilerleyen aşamalarında işletme personelinin tesisin durumunu değerlendirmesi, prosedürleri uygulaması veya gerekli işletme kararlarını vermesi gerekebilir.

Güvenlik koruma sistemlerinin devreye girme koşulları

Güvenlik analizinde yalnızca operatör müdahalesi değil, otomatik güvenlik koruma sistemlerinin hangi koşullarda devreye girdiği de açık biçimde değerlendirilir.

Bir koruma sisteminin devreye girmesi için gerekli olan sinyal veya tetikleme koşulu, olayın zaman gelişimi içerisinde doğru noktaya yerleştirilmelidir. Sistemin hangi parametreyi izlediği, hangi koşulda tepki verdiği ve bu tepkinin olayın fiziksel gelişimini nasıl değiştirdiği analiz kapsamında önem taşır.

Böylece güvenlik analizinde yalnızca "koruma sistemi bulunmaktadır" denmez. Koruma sisteminin ne zaman, hangi koşulda ve hangi güvenlik fonksiyonunu gerçekleştirmek üzere devreye girdiği incelenir.

İnsan hatası yalnızca operatörün hatası değildir

İnsan faktörleri değerlendirilirken yalnızca "operatör doğru düğmeye bastı mı?" sorusuna odaklanmak yeterli değildir. İnsan performansı; kullanılan göstergeler, alarm sistemi, prosedürler, eğitim, çalışma ortamı ve karar vermek için mevcut zaman gibi birçok faktörden etkilenebilir.

Bu nedenle güvenlik tasarımının amacı insanı kusursuz kabul etmek değil, insan hatasının ortaya çıkma ihtimalini azaltacak ve ortaya çıktığında sonuçlarını sınırlayacak bir sistem tasarlamaktır.

İyi tasarlanmış bir insan-makine arayüzü, operatörün tesisin durumunu daha kolay anlamasına yardımcı olur. Açık prosedürler ve uygun eğitim ise gerekli işlemin doğru biçimde gerçekleştirilmesini destekler.

Bir manuel işlem güvenlik analizine nasıl dahil edilir?

Bir manuel işlemin analizde dikkate alınabilmesi için aşağıdaki soruların cevaplanması gerekir:

• Operatör hangi güvenlik durumunu veya değişikliği fark etmelidir?
• Bu bilgiyi hangi ölçüm, gösterge veya alarm sağlayacaktır?
• Bilgi operatör tarafından ne zaman kullanılabilir hale gelecektir?
• Operatörün durumu değerlendirmesi için yeterli zaman var mıdır?
• Hangi prosedür veya talimat uygulanacaktır?
• İşlemin gerçekleştirilmesi için gerekli ekipman kullanılabilir midir?
• İşlem gerçekleştirildiğinde hangi güvenlik fonksiyonu korunacaktır?
• İşlemin olayın fiziksel gelişimi üzerindeki etkisi nedir?

İnsan müdahalesi güvenlik zincirinin bir parçasıdır

Önceki bölümlerde güvenlik değerlendirmesinin merkezine güvenlik fonksiyonlarını koymuştuk. İnsan müdahalesi de bu fonksiyonların gerçekleştirilmesinde bazı durumlarda rol oynayabilir.

Bu nedenle değerlendirme yalnızca ekipmanların çalışıp çalışmadığını incelemekle tamamlanmaz. Güvenlik fonksiyonunun insan müdahalesine bağlı olduğu durumda, insanın bu fonksiyonu gerekli zamanda ve gerekli koşullarda gerçekleştirebilmesi de değerlendirilmelidir.

Deterministik analiz açısından insan müdahalesi

Bir önceki bölümde deterministik güvenlik analizinin olayın zaman içerisindeki gelişimini incelediğini gördük. İnsan müdahalesi de bu zaman çizelgesinin içine yerleştirilir.

Böylece analizde başlangıç olayından sonra hangi otomatik sistemlerin devreye girdiği, hangi fiziksel değişimlerin meydana geldiği, hangi bilgilerin operatöre ulaştığı ve gerekli manuel işlemlerin hangi zaman aralığında gerçekleştirilebildiği birlikte değerlendirilir.

Sonuç olarak insan, nükleer güvenlik sisteminin dışında düşünülen bir unsur değildir. Bazı güvenlik fonksiyonları otomatik sistemler tarafından hızlı biçimde gerçekleştirilirken, bazı durumlarda insanın değerlendirmesi ve müdahalesi gerekli olabilir. Güvenlik değerlendirmesinin amacı, bu iki unsurun olay sırasında nasıl birlikte çalıştığını gerçekçi biçimde ortaya koymaktır.

Böylece güvenlik analizinde yalnızca "sistem çalıştı mı?" sorusu değil, "sistem hangi koşulda devreye girdi, operatör hangi bilgiyi ne zaman aldı ve gerekli güvenlik fonksiyonu olay boyunca korunabildi mi?" soruları da cevaplanmış olur.

Güvenlik fonksiyonlarının önemli bir bölümü doğrudan veya dolaylı olarak enerji kaynaklarına ve destek sistemlerine bağımlıdır. Bu nedenle güvenlik açısından önemli bir sistem yalnızca kendi ekipmanları üzerinden değerlendirilmemelidir.

Bir güvenlik fonksiyonunun gerçekten gerçekleştirilebilmesi için ana ekipmanın yanı sıra bu ekipmanın ihtiyaç duyduğu elektrik beslemesi, kontrol ve kumanda, ölçüm, soğutma, yardımcı akışkanlar ve diğer destek hizmetlerinin de olay sırasında kullanılabilir olması gerekebilir.

Bir güvenlik sistemi kendi başına çalışmaz

Örneğin bir soğutma sisteminin güvenlik açısından gerekli performansı gösterebilmesi için yalnızca pompanın yeterli kapasiteye sahip olması yeterli değildir. Pompanın çalışması için gerekli elektrik enerjisinin mevcut olması, kontrol sisteminin uygun komutu verebilmesi ve gerekli ölçüm bilgilerinin kullanılabilir olması gerekebilir.

Bunun yanında pompanın veya ilgili ekipmanın ihtiyaç duyduğu yardımcı soğutma, havalandırma veya başka destek hizmetlerinin de olay sırasında görevini sürdürebilmesi gerekebilir.

Bu nedenle güvenlik değerlendirmesinde şu soru sorulur: "Bu ekipman çalışabilir mi?" sorusundan daha önemlisi, "Bu ekipmanın güvenlik fonksiyonunu gerçekleştirebilmesi için ihtiyaç duyduğu bütün koşullar sağlanabiliyor mu?" sorusudur.

Enerji kaybı neden önemlidir?

Nükleer tesislerde elektrik enerjisi; ölçüm, kontrol, kumanda, pompalama, aktüatörlerin çalıştırılması, havalandırma ve çok sayıda yardımcı fonksiyon için gerekli olabilir.

Bu nedenle elektrik beslemesindeki bir kayıp, yalnızca elektrikli bir ekipmanın durması anlamına gelmez. Enerji kaybının kapsamına bağlı olarak birbirinden farklı görünen birçok sistem aynı olaydan etkilenebilir.

Güvenlik analizinde bu nedenle enerji kaybının hangi sistemleri etkilediği, hangi güvenlik fonksiyonlarının bundan zarar görebileceği ve kalan enerji kaynaklarının gerekli fonksiyonları sürdürmek için yeterli olup olmadığı değerlendirilir.

Harici elektrik gücünün kaybı

Tesisin dış elektrik şebekesinden aldığı enerjinin kullanılamaz hale gelmesi, güvenlik değerlendirmesinde dikkate alınabilecek önemli bir başlangıç olayıdır.

Böyle bir durumda tesisin hangi ekipmanlarının enerji kaybettiği, hangi güvenlik fonksiyonlarının bundan etkilenebileceği ve alternatif enerji kaynaklarının hangi güvenlik fonksiyonlarını sürdürebildiği değerlendirilir.

Burada temel amaç yalnızca "elektrik kesildiğinde ne olur?" sorusunu cevaplamak değildir. Daha kapsamlı soru şudur: "Elektrik kaybına rağmen gerekli güvenlik fonksiyonları hangi yollarla sürdürülebilir?"

Yedek enerji kaynakları neyi amaçlar?

Güvenlik açısından önemli ekipmanların gerekli durumda çalışabilmesi için tesislerde birden fazla enerji kaynağı veya alternatif enerji sağlama düzenlemeleri bulunabilir. Bunların amacı, tek bir enerji kaynağının kaybının gerekli güvenlik fonksiyonlarını tamamen ortadan kaldırmasını önlemektir.

Ancak yedek bir enerji kaynağının bulunması tek başına yeterli değildir. Bu kaynağın hangi ekipmanları beslediği, hangi koşullarda kullanılabildiği, gerekli kapasiteyi sağlayıp sağlayamadığı ve ihtiyaç duyduğu destek sistemlerinin kullanılabilirliği de değerlendirilmelidir.

Dolayısıyla güvenlik analizinde enerji kaynakları da güvenlik fonksiyonlarıyla ilişkileri üzerinden ele alınır.

Gizli bağımlılıklar

Güvenlik değerlendirmesinin zor taraflarından biri, ilk bakışta görülmeyen bağımlılıkların belirlenmesidir. İki sistem fiziksel olarak ayrı olabilir ancak aynı destek sistemine bağlı olabilir.

Örneğin iki farklı güvenlik ekipmanının ayrı bölümlerde bulunması gerçek bağımsızlık sağlayabilir. Fakat her ikisinin aynı elektrik beslemesine, aynı kontrol altyapısına veya aynı yardımcı sisteme bağlı olması durumunda ortak bir arıza her ikisini de etkileyebilir.

Bu tür ilişkiler bazen doğrudan ekipmanlar arasında değil, onların arkasındaki destek sistemleri üzerinden ortaya çıkar. Bu nedenle güvenlik değerlendirmesinde bağımlılık zincirinin tamamının incelenmesi gerekir.

Destek sistemi de güvenlik açısından önemli olabilir

Bir destek sistemi doğrudan reaktör üzerinde bir güvenlik fonksiyonu gerçekleştirmiyor olabilir. Buna rağmen desteklediği güvenlik sisteminin çalışması için vazgeçilmez olması halinde güvenlik açısından önemli hale gelir.

Örneğin bir yardımcı soğutma sistemi doğrudan artık ısıyı uzaklaştıran ana sistem olmayabilir. Ancak ana sistemin gerekli koşullarda çalışabilmesi için bu yardımcı soğutmaya ihtiyaç duyuluyorsa, yardımcı sistemin kaybı dolaylı olarak ana güvenlik fonksiyonunu etkileyebilir.

Bu nedenle bir sistemin güvenlik önemini yalnızca "doğrudan güvenlik sistemi mi?" sorusuyla belirlemek yeterli değildir. Desteklediği fonksiyon ve bağımlılık ilişkileri de dikkate alınmalıdır.

Destek sistemleri olay sırasında ayrıca değerlendirilir

Bir güvenlik fonksiyonunun ihtiyaç duyduğu destek sistemleri, ilgili olayın koşulları altında değerlendirilmelidir. Çünkü normal işletmede sorunsuz çalışan bir destek sistemi, belirli bir kaza veya başlangıç olayı sırasında farklı çevresel veya işletme koşullarıyla karşılaşabilir.

Bu nedenle analizde destek sisteminin yalnızca normal koşullardaki performansı değil, güvenlik fonksiyonuna ihtiyaç duyulduğu koşullardaki kullanılabilirliği ve performansı önem taşır.

Enerji kaybı ile güvenlik fonksiyonu arasındaki ilişki

Enerji kaybının güvenlik açısından önemini anlayabilmek için olayın doğrudan fiziksel sonucundan ziyade hangi güvenlik fonksiyonlarını etkilediğine bakmak gerekir.

Örneğin elektrik kaybı bir pompayı durdurabilir. Pompanın durması ise soğutma akışını azaltabilir. Soğutma akışındaki azalma artık ısının uzaklaştırılmasını etkileyebilir. Bu durum daha sonra yakıtın ve ilgili bariyerlerin korunması açısından önemli hale gelebilir.

Bir ekipmanın çalışması ile güvenlik fonksiyonunun gerçekleşmesi aynı değildir

Güvenlik değerlendirmesinde önemli bir ayrım vardır: bir ekipmanın çalışıyor olması, ilgili güvenlik fonksiyonunun mutlaka başarıyla gerçekleştirildiği anlamına gelmez.

Bir pompa çalışıyor olabilir ancak gerekli debiyi sağlayamıyor olabilir. Bir ölçüm cihazı çalışıyor olabilir ancak gerekli bilgiyi güvenilir biçimde sağlayamıyor olabilir. Bir enerji kaynağı mevcut olabilir ancak güvenlik fonksiyonunun ihtiyaç duyduğu bütün ekipmanları yeterli kapasiteyle besleyemiyor olabilir.

Bu nedenle analiz ekipman seviyesinde başlayabilir ancak değerlendirme güvenlik fonksiyonu seviyesinde tamamlanmalıdır.

Enerji kaybı bir ortak nedenli etki oluşturabilir

Tek bir enerji kaynağının kaybedilmesi, aynı kaynağa bağlı çok sayıda ekipmanı aynı anda etkileyebilir. Bu durumda başlangıçta bağımsız görünen ekipmanların önemli bir bölümü aynı olay nedeniyle kullanılamaz hale gelebilir.

Bu nedenle enerji altyapısı, önceki bölümde ele alınan tek hata, yedeklilik, bağımsızlık ve ortak nedenli arıza kavramlarıyla birlikte değerlendirilir.

Güvenlik değerlendirmesinde sorulması gereken sorular

Enerji ve destek sistemlerinin değerlendirilmesinde aşağıdaki sorular özellikle önem taşır:

• İlgili güvenlik fonksiyonunu gerçekleştiren ekipmanların hangi enerji kaynaklarına ihtiyacı vardır?
• Başlangıç olayı bu enerji kaynaklarını etkiliyor mu?
• Bir enerji kaynağının kaybı hangi ekipmanları aynı anda etkileyebilir?
• Güvenlik ekipmanlarının ihtiyaç duyduğu kontrol ve ölçüm sistemleri kullanılabilir durumda mı?
• Ana ekipmanın çalışması için hangi yardımcı veya destek sistemleri gereklidir?
• Bu destek sistemlerinin kendileri hangi enerji veya yardımcı sistemlere bağımlıdır?
• Görünürde bağımsız olan sistemler arasında ortak bir bağımlılık bulunuyor mu?
• Tüm bağımlılıklar dikkate alındığında güvenlik fonksiyonu olay boyunca sürdürülebiliyor mu?

Güvenlik değerlendirmesinin bütünüyle bakıldığında

Enerji ve destek sistemlerinin değerlendirilmesi, güvenlik analizinin neden yalnızca ana ekipmanların hesaplanmasından ibaret olmadığını gösterir.

Bir güvenlik fonksiyonunun gerçekleştirilmesi için gereken bütün zincirin değerlendirilmesi gerekir. Ana ekipman, enerji kaynağı, kontrol ve ölçüm sistemleri, yardımcı sistemler ve bunların kendi destekleri birlikte ele alındığında gerçek güvenlik mimarisi ortaya çıkar.

Sonuç olarak enerji kaybı ve destek sistemleri, nükleer güvenlik değerlendirmesinde bağımsız bir ayrıntı olarak değil, güvenlik fonksiyonlarının kullanılabilirliğini belirleyen temel unsurlar olarak ele alınır.

Bu yaklaşım, bizi güvenlik analizinin bir başka önemli boyutuna götürür: Tesisin bütün bu sistemleri normal koşullar dışında, yani kaza koşullarında ve çevresel etkiler altında gerçekten çalışabilir mi? Bunun için yalnızca tasarım varsayımlarına değil, model belirsizliklerine, parametre belirsizliklerine ve güvenlik marjlarına de bakılması gerekir.

Güvenlik değerlendirmesi, bilgisayar programının ürettiği bir sayısal sonucu olduğu gibi kabul etmek değildir. Hesaplanan sonucun güvenilir olabilmesi için kullanılan hesaplama programının, fiziksel modelin, giriş parametrelerinin ve başlangıç koşullarının uygunluğu değerlendirilmelidir.

Gerçek bir nükleer tesisin davranışı çok sayıda fiziksel olayın aynı anda etkileşimine bağlıdır. Güvenlik analizinde ise bu karmaşık fiziksel davranış, matematiksel modeller ve hesaplama yöntemleri kullanılarak temsil edilir. Dolayısıyla analiz sonucu hiçbir zaman yalnızca "programın verdiği sayı" olarak değerlendirilmemelidir.

Model gerçeğin kendisi değildir

Bir hesaplama modeli, gerçek tesisin fiziksel davranışının belirli amaçlarla oluşturulmuş matematiksel bir temsilidir. Model, gerçek sistemi bütün ayrıntılarıyla kopyalamak yerine güvenlik değerlendirmesi açısından önemli fiziksel süreçleri uygun bir doğruluk düzeyinde temsil etmeye çalışır.

Örneğin bir soğutma olayının analizinde akış, basınç, sıcaklık, ısı transferi ve ekipman davranışı gibi çok sayıda fiziksel süreç birlikte modellenebilir. Modelin hangi fiziksel olayları içerdiği ve hangi varsayımları yaptığı, elde edilen sonucun güvenilirliği açısından önemlidir.

Bu nedenle önemli olan yalnızca karmaşık bir program kullanmak değildir. Kullanılan modelin analiz edilen olay için uygun olması gerekir.

Hesaplama programı neden doğrulanmalıdır?

Güvenlik analizlerinde kullanılan bilgisayar programları, fiziksel modelleri sayısal olarak çözmek için kullanılır. Ancak bir programın çalışıyor olması, elde ettiği sonuçların otomatik olarak doğru olduğu anlamına gelmez.

Kullanılan hesaplama yönteminin ve programın analiz amacı için uygunluğu, mümkün olduğunda doğrulama ve karşılaştırma çalışmalarıyla ortaya konmalıdır. Böylece programın ilgili fiziksel olayları ve hesaplama yöntemlerini yeterli biçimde temsil edip etmediği değerlendirilir.

Kaynak dokümanda da analizde kullanılacak hesaplama programlarının, modellerin ve parametrelerin yeterliliğinin doğrulanması gerektiği açıkça belirtilmektedir. :contentReference[oaicite:1]{index=1}

Model belirsizliği

Gerçek fiziksel olayların tamamı matematiksel olarak kusursuz biçimde temsil edilemeyebilir. Bazı fiziksel süreçler basitleştirilebilir, bazı etkiler yaklaşık olarak modellenebilir veya farklı modelleme yaklaşımları kullanılabilir.

Bu durum model belirsizliği olarak düşünülebilir. Model belirsizliği, kullanılan matematiksel temsilin gerçek fiziksel davranıştan ne ölçüde farklı olabileceğiyle ilgilidir.

Bu nedenle güvenlik açısından önemli bir analizde "hangi program kullanıldı?" sorusu kadar, "bu program olayın hangi fiziksel özelliklerini hangi modelle temsil ediyor?" sorusu da önemlidir.

Parametre belirsizliği

Model uygun olsa bile modele giren parametrelerin değerleri tamamen kesin olmayabilir. Malzeme özellikleri, ekipman performansı, başlangıç sıcaklığı, basınç, akış koşulları veya diğer fiziksel büyüklüklerde belirli bir belirsizlik bulunabilir.

Bu durumda problem modelin kendisinden değil, model içerisinde kullanılan giriş değerlerinin tam olarak bilinmemesinden kaynaklanabilir. Buna parametre belirsizliği denebilir.

Başlangıç koşulları da belirsizlik kaynağı olabilir

Bir güvenlik analizinin sonucu, olayın başlangıcında tesisin hangi durumda olduğuna da bağlıdır. Reaktör gücü, sıcaklık, basınç, akış koşulları, yakıtın işletme durumu veya ilgili ekipmanların kullanılabilirliği gibi başlangıç koşulları analiz sonucunu etkileyebilir.

Bu nedenle deterministik analizde başlangıç koşullarının açık biçimde tanımlanması ve güvenlik açısından uygun varsayımların kullanılması önemlidir.

Böylece analiz yalnızca "olay gerçekleştiğinde ne olur?" sorusunu değil, "olay hangi başlangıç koşullarında gerçekleşti?" sorusunu da dikkate alır.

Neden daha zorlayıcı sonuçlar dikkate alınır?

Güvenlik değerlendirmesinde amaç yalnızca en olası veya ortalama fiziksel sonucu bulmak değildir. Güvenlik açısından önemli olan, makul belirsizlikler altında tasarımın yeterliliğinin korunup korunmadığını gösterebilmektir.

Bu nedenle kaynak dokümanda, analiz sırasında kullanılacak model ve parametrelerin en ciddi sonuçları verecek şekilde seçilmesi gerektiği belirtilmektedir. :contentReference[oaicite:2]{index=2}

Buradaki yaklaşım, rastgele biçimde fiziksel olarak gerçekleşmesi mümkün olmayan bir "en kötü durum" yaratmak değildir. Amaç, ilgili güvenlik değerlendirmesi açısından makul ve güvenlik açısından daha zorlayıcı sonuçlar oluşturabilecek varsayımların dikkate alınmasıdır.

Muhafazakâr yaklaşım ne demektir?

Güvenlik analizlerinde belirsizliklerin yönetilmesinde muhafazakâr yaklaşım kullanılabilir. Muhafazakâr yaklaşımın temel amacı, belirsizliğin güvenlik açısından sonucu olduğundan daha olumlu göstermesini önlemektir.

Örneğin bir parametrenin hangi değeri alacağından tam olarak emin olunamıyorsa, güvenlik açısından daha zorlayıcı sonuç doğuran uygun bir değer analizde kullanılabilir.

Böylece hesaplanan sonuç, gerçek tesis davranışının belirsizliği karşısında belirli bir güvenlik payı bırakacak şekilde değerlendirilir.

Güvenlik marjı neden gereklidir?

Gerçek tesis davranışındaki belirsizliklerin tamamen ortadan kaldırılması mümkün değildir. Bu nedenle analiz sonucunun kabul kriterine yalnızca biçimsel olarak uyup uymadığına bakmak yeterli olmayabilir.

Önemli olan, analiz sonucunun ilgili kabul kriterinden ne kadar uzakta bulunduğunun ve belirsizlikler dikkate alındığında bu mesafenin yeterli olup olmadığının değerlendirilmesidir.

Bu fark, güvenlik marjı kavramını ortaya çıkarır. Güvenlik marjı, belirsizliklerin veya beklenmeyen değişimlerin güvenlik sonucunu hemen kabul edilemez bir duruma taşımamasına yardımcı olan mühendislik payı olarak düşünülebilir.

Belirsizlik sonucu ne kadar değiştirebilir?

Her belirsizlik güvenlik sonucu üzerinde aynı etkiye sahip değildir. Bazı parametrelerdeki küçük değişiklikler sonucu çok az etkilerken, bazı parametrelerdeki küçük değişiklikler önemli fiziksel sonuçlara neden olabilir.

Bu nedenle güvenlik analizinde yalnızca belirsizliklerin varlığı değil, hangi belirsizliğin sonuç üzerinde ne kadar etkili olduğu da önemlidir.

Bu bakış açısı, güvenlik açısından daha önemli parametrelerin ve varsayımların belirlenmesine yardımcı olur. Böylece analiz kaynaklarının en fazla önem taşıyan belirsizliklere yönlendirilmesi mümkün hale gelir.

Duyarlılık kavramı

Bir analiz sonucunun belirli bir giriş parametresindeki değişikliğe ne ölçüde tepki verdiği duyarlılık açısından değerlendirilebilir.

Örneğin bir parametrenin küçük bir değişiminin analiz sonucunda büyük bir değişikliğe yol açması, sonucun o parametreye duyarlı olduğunu gösterebilir. Buna karşılık aynı büyüklükteki değişiklik başka bir parametrede çok küçük bir sonuç değişikliğine neden olabilir.

Bu tür değerlendirmeler, güvenlik açısından hangi parametrelerin daha dikkatli belirlenmesi veya daha geniş marjlarla ele alınması gerektiğinin anlaşılmasına yardımcı olabilir.

Hesaplama sonucu ile gerçek tesis davranışı arasındaki fark

Güvenlik analizinin ürettiği sonuç, gerçek tesiste gelecekte mutlaka gerçekleşecek tek bir davranış olarak yorumlanmamalıdır. Sonuç, belirli başlangıç koşulları, fiziksel modeller, parametreler ve varsayımlar altında elde edilen mühendislik değerlendirmesidir.

Bu nedenle güvenlik değerlendirmesinin gücü, yalnızca hesaplamanın ayrıntılı olmasından değil; varsayımların açıkça tanımlanması, kullanılan modellerin uygunluğu, parametrelerin yeterliliği ve belirsizliklerin güvenlik açısından ele alınmasından kaynaklanır.

Belirsizlik güvenlik değerlendirmesinin düşmanı değildir

Bir analizde belirsizlik bulunması, analiz sonucunun kullanılamaz olduğu anlamına gelmez. Mühendislik açısından önemli olan belirsizliğin farkında olmak, kaynağını anlamak ve güvenlik sonucunu ne ölçüde etkilediğini değerlendirmektir.

Belirsizliklerin tanımlanması ve uygun güvenlik marjlarının kullanılması sayesinde analiz, gerçek tesis davranışındaki bilinmezliklere karşı daha anlamlı bir güvenlik değerlendirmesi sağlayabilir.

Güvenlik değerlendirmesinin güvenilirliği nereden gelir?

Güvenlik değerlendirmesinin güvenilirliği tek bir unsurdan kaynaklanmaz. Hesaplama programının uygunluğu, fiziksel modelin yeterliliği, giriş parametrelerinin güvenilirliği, başlangıç koşullarının doğru tanımlanması, varsayımların güvenlik açısından uygunluğu ve belirsizliklerin ele alınması birlikte değerlendirilmelidir.

Bu nedenle güvenlik analizinin kalitesi, "hangi program kullanıldı?" sorusundan daha geniş bir sorudur: "Bu sonuç hangi fiziksel model, hangi parametreler, hangi varsayımlar ve hangi güvenlik marjları altında elde edildi?"

Sonuç olarak hesaplama modeli, güvenlik değerlendirmesinin yalnızca bir hesaplama aracı değil, fiziksel gerçeklik ile mühendislik kararı arasındaki önemli bir köprüsüdür. Model, program, parametre, varsayım ve güvenlik marjı birlikte değerlendirilmeden yalnızca sayısal bir sonuca bakılarak güvenlik kararı verilmez.

Böylece önceki bölümlerde ele alınan deterministik analiz, kabul kriterleri, tek hata varsayımı, insan müdahalesi ve destek sistemleri kavramları daha geniş bir çerçevede birleşir. Bir sonraki aşamada ise bu değerlendirmelerin yalnızca tek tek olaylar için değil, farklı olayların birlikte oluşturabileceği risklerin ve olay dizilerinin değerlendirilmesine nasıl genişletildiği ele alınabilir.

Güvenlik değerlendirmesinde kullanılan başlangıç koşulları, model seçenekleri ve giriş parametreleri, analiz sonucunun güvenlik açısından gereğinden fazla iyimser olmasına yol açmayacak şekilde seçilmelidir.

Bu yaklaşım muhafazakâr analiz olarak adlandırılabilir. Temel düşünce, belirsizliklerin ve değişkenliklerin güvenlik açısından daha olumlu bir sonuç yaratacak şekilde göz ardı edilmemesidir.

Ancak muhafazakârlık, fiziksel olarak imkânsız bir "en kötü durum" yaratmak anlamına gelmez. Amaç; fizik kurallarını, tesisin gerçek tasarımını veya olayın fiziksel gelişimini terk ederek yapay bir senaryo oluşturmak değil, teknik olarak savunulabilir ve güvenlik açısından zorlayıcı koşullar altında tasarımın yeterliliğini sınamaktır.

Muhafazakâr yaklaşım neyi amaçlar?

Bir güvenlik analizinde bazı parametrelerin kesin değeri tam olarak bilinmeyebilir. Ekipman performansı belirli bir aralıkta değişebilir, başlangıç koşulları farklılık gösterebilir veya kullanılan fiziksel modelde belirsizlik bulunabilir.

Böyle bir durumda analiz, belirsizliği yok sayarak yalnızca güvenlik açısından en olumlu sonucu veren değerleri seçmemelidir. Bunun yerine güvenlik sonucunu daha olumsuz yönde etkileyebilecek, ancak fiziksel ve teknik açıdan makul değerler dikkate alınabilir.

Kaynak dokümanda da analiz sırasında kullanılacak model ve parametrelerin en ciddi sonuçları verecek şekilde seçilmesi ve belirsizlik bulunması halinde uygun güvenlik marjının dikkate alınması gerektiği belirtilmektedir. :contentReference[oaicite:1]{index=1}

"En kötü durum" ile "en kötü makul durum" arasındaki fark

"En kötü durum" ifadesi günlük kullanımda herhangi bir fiziksel sınır gözetmeden mümkün olan en olumsuz senaryoyu çağrıştırabilir. Güvenlik analizindeki muhafazakâr yaklaşım ise bundan daha kontrollü bir kavramdır.

En kötü makul durum, ilgili güvenlik değerlendirmesinin kapsamı içerisinde fiziksel olarak mümkün, teknik olarak savunulabilir ve güvenlik açısından zorlayıcı olan koşulların dikkate alınması anlamına gelir.

Örneğin bir ekipmanın performansı belirli bir aralıkta değişebiliyorsa, güvenlik sonucunu daha olumsuz yönde etkileyen bir performans değeri kullanılabilir. Ancak ekipmanın fiziksel olarak gerçekleştiremeyeceği bir değer sırf sonucu kötüleştirmek amacıyla analize sokulmaz.

Muhafazakârlık neden gereklidir?

Güvenlik değerlendirmesinin amacı tesisin yalnızca ideal koşullarda güvenli olduğunu göstermek değildir. Gerçek tesis davranışında ortaya çıkabilecek değişkenliklerin güvenlik sonucunu nasıl etkileyebileceği de dikkate alınmalıdır.

Eğer analizde sürekli olarak güvenlik açısından en elverişli başlangıç koşulları ve ekipman performansları kullanılırsa, analiz sonucu tesisin gerçek güvenlik marjını olduğundan daha büyük gösterebilir.

Muhafazakâr yaklaşım bu nedenle analiz ile gerçek tesis davranışı arasındaki belirsizliklerin güvenlik aleyhine göz ardı edilmesini önlemeye yardımcı olur.

Muhafazakâr yaklaşım nasıl uygulanır?

Muhafazakâr bir analizde önce hangi parametrelerin veya varsayımların güvenlik sonucunu etkilediği belirlenir. Daha sonra bu parametrelerin hangi yönde değişmesinin güvenlik açısından daha zorlayıcı sonuç oluşturduğu değerlendirilir.

Örneğin bir ekipmanın kapasitesinin azalması güvenlik fonksiyonunu olumsuz etkiliyorsa, kapasitenin belirsizlik aralığındaki daha düşük bir değeri analizde kullanılabilir. Buna karşılık bazı başka parametrelerde daha yüksek bir değer daha zorlayıcı olabilir.

Dolayısıyla "her parametreyi küçültmek" veya "her parametreyi büyütmek" gibi genel bir kural yoktur. Hangi yöndeki değişimin hangi fiziksel sonucu doğurduğu dikkate alınmalıdır.

Bütün parametreleri aynı anda en olumsuz yapmak doğru mudur?

Hayır. Her parametreyi aynı anda fiziksel olarak mümkün olan en olumsuz değerine taşımak, gerçekçi olmayan bir sonuç oluşturabilir.

Bazı parametrelerin aynı anda belirli değerlere ulaşması fiziksel olarak mümkün olmayabilir. Bazı parametreler birbirleriyle bağlantılı olabilir veya birinin değişmesi diğerini de değiştirebilir.

Bu nedenle muhafazakâr analizde yalnızca tek tek parametrelerin olumsuz değerleri değil, bu değerlerin birlikte fiziksel olarak tutarlı olup olmadığı da önemlidir.

Aksi halde analiz matematiksel olarak daha olumsuz bir sonuç üretebilir ancak bu sonuç gerçek fiziksel sistemin davranışını temsil etmeyebilir.

Muhafazakârlık ile çifte sayım arasındaki denge

Güvenlik analizinde aynı belirsizliğin birden fazla kez güvenlik aleyhine hesaba katılması da uygun olmayabilir. Örneğin bir belirsizlik hem model seçiminde hem de giriş parametresinde ayrıca ve bağımsız biçimde kötüleştirilirse, aynı fiziksel etkinin iki kez hesaba katılması söz konusu olabilir.

Bu nedenle muhafazakâr varsayımların teknik olarak gerekçelendirilmesi ve birbirleriyle tutarlı olması gerekir. Amaç mümkün olan en büyük sayıyı elde etmek değil, güvenlik değerlendirmesi açısından anlamlı bir marj oluşturmak olmalıdır.

Muhafazakâr analiz ile gerçekçilik arasındaki denge

Güvenlik analizinin iki uç yaklaşım arasında dengelenmesi gerekir. Bir uçta bütün parametreleri ideal kabul ederek aşırı iyimser bir analiz yapmak, diğer uçta ise fiziksel olarak anlamlı olmayan aşırı kötü varsayımlar kullanmak bulunur.

Güvenlik açısından doğru yaklaşım, fiziksel olarak savunulabilir ve güvenlik açısından zorlayıcı koşulları belirlemektir.

Muhafazakâr yaklaşım ile güvenlik marjı arasındaki ilişki

Muhafazakâr varsayımlar ile güvenlik marjı birbirinden farklı ancak birbirini tamamlayan kavramlardır.

Muhafazakâr yaklaşım, analizde belirsizliklerin ve olumsuz koşulların nasıl ele alınacağını belirler. Güvenlik marjı ise elde edilen sonucun kabul kriterine göre ne kadar güvenlik payı bıraktığını değerlendirmeye yardımcı olur.

Muhafazakâr analiz güvenliği nasıl güçlendirir?

Muhafazakâr yaklaşımın temel yararı, tasarımın yalnızca nominal veya ideal koşullarda değil, güvenlik açısından daha zorlayıcı makul koşullarda da değerlendirilmesine yardımcı olmasıdır.

Böylece analiz sonucu kabul kriterine yakınsa bunun nedenleri araştırılabilir ve tasarımın hangi parametrelere daha duyarlı olduğu anlaşılabilir. Gerektiğinde tasarım, işletme koşulları veya analiz varsayımları yeniden değerlendirilebilir.

Muhafazakâr yaklaşımın temel soruları

Bir güvenlik analizinde muhafazakâr yaklaşım uygulanırken şu sorular sorulabilir:

• Hangi parametreler güvenlik sonucunu önemli ölçüde etkiliyor?
• Bu parametrelerde hangi belirsizlikler bulunuyor?
• Parametrenin hangi yöndeki değişimi güvenlik açısından daha zorlayıcı sonuç oluşturuyor?
• Seçilen değer fiziksel olarak mümkün ve teknik olarak savunulabilir mi?
• Birden fazla muhafazakâr varsayım aynı anda fiziksel olarak tutarlı mı?
• Aynı belirsizlik başka bir varsayımla ikinci kez hesaba katılıyor mu?
• Sonuç ile kabul kriteri arasında yeterli güvenlik marjı bulunuyor mu?

Sonuç olarak muhafazakâr yaklaşım; model seçimi, başlangıç koşulları, giriş parametreleri ve ekipman performansları gibi unsurların güvenlik açısından dikkatli biçimde ele alınmasını sağlar. Ancak muhafazakârlığın teknik gerçekçilikle birlikte uygulanması gerekir.

İyi bir güvenlik analizi ne aşırı iyimser ne de fiziksel olarak anlamsız derecede kötümserdir. Amaç, gerçek fiziksel sistemi temsil eden ve güvenlik açısından yeterli marjı gösterebilen teknik olarak savunulabilir bir değerlendirme oluşturmaktır.

Tasarım esaslı kazalar, bir nükleer tesisin güvenlik tasarımının belirlenmiş kaza koşullarında yeterli olup olmadığını değerlendirmek için kullanılan temel deterministik analiz senaryolarındandır.

Bu değerlendirmelerde belirli bir başlangıç olayı tanımlanır ve olayın tesis üzerindeki fiziksel etkilerinin zaman içerisinde nasıl geliştiği incelenir. Daha sonra güvenlik sistemlerinin, destek sistemlerinin, fiziksel bariyerlerin ve gerektiğinde operatör müdahalelerinin bu gelişimi nasıl etkilediği değerlendirilir.

Amaç yalnızca bir kaza senaryosunu bilgisayar ortamında canlandırmak değildir. Asıl amaç, belirlenen koşullar altında gerekli güvenlik fonksiyonlarının korunabildiğini, kabul kriterlerinin karşılandığını ve tesisin güvenli bir duruma getirilebildiğini göstermektir.

Tasarım esaslı kaza neyi sınar?

Bir tesisin normal işletme koşullarında kararlı çalışması, tek başına kaza koşullarındaki güvenliğini kanıtlamaz. Tasarım esaslı kaza analizinin amacı, tesisin belirli kaza koşullarında güvenlik fonksiyonlarını sürdürebilme kapasitesini sınamaktır.

Bu nedenle analiz sırasında olayın başlangıcından itibaren tesisin fiziksel davranışı, güvenlik sistemlerinin devreye girmesi, ekipmanların kullanılabilirliği, destek sistemleri, olası tek hatalar ve gerekli durumlarda insan müdahaleleri birlikte değerlendirilir.

Böylece analiz, güvenlik tasarımının yalnızca tek bir ekipmanını değil, birbirine bağlı güvenlik düzenlemelerinin bütününü sınamış olur.

Analiz bir başlangıç olayıyla başlar

Tasarım esaslı kaza analizinin ilk adımı, tesisin normal veya belirlenmiş başlangıç durumundan güvenlik açısından önemli bir duruma geçmesine neden olan başlangıç olayının tanımlanmasıdır.

Başlangıç olayı tek başına kazanın bütün gelişimini belirlemez. Olayın ardından tesisin fiziksel tepkisi, güvenlik sistemlerinin davranışı ve varsa diğer arızalar olayın nasıl ilerleyeceğini belirler.

Hangi güvenlik fonksiyonları korunmalıdır?

Bir kaza senaryosunun güvenlik açısından değerlendirilmesinde temel soru, hangi ekipmanın çalıştığından önce hangi güvenlik fonksiyonlarının korunması gerektiğidir.

Reaktörün güvenli biçimde durdurulması, artık ısının uzaklaştırılması, yakıtın ve ilgili sınırların korunması, radyoaktif maddelerin tutulması ve gerekli izleme ve kontrol fonksiyonlarının sürdürülmesi olayın özelliklerine göre değerlendirmeye girebilir.

• Reaktör güvenli bir duruma geçirilebiliyor mu?
• Artık ısı yeterli şekilde uzaklaştırılabiliyor mu?
• Yakıtın bütünlüğü korunabiliyor mu?
• İlgili basınç ve akışkan sınırları korunabiliyor mu?
• Radyoaktif maddelerin tutulması için gerekli bariyerler korunabiliyor mu?
• Gerekli ölçüm ve kontrol fonksiyonları sürdürülebiliyor mu?
• Olayın daha ağır sonuçlara ilerlemesi önlenebiliyor mu?

Güvenlik sistemlerinin tepkisi analiz edilir

Başlangıç olayından sonra güvenlik açısından önemli sistemlerin hangi koşullarda devreye girdiği ve olayın gelişimini nasıl etkilediği analiz edilir.

Bir güvenlik sisteminin yalnızca mevcut olması yeterli değildir. Sistemin gerekli zamanda devreye girmesi, gerekli kapasiteyi sağlaması, ihtiyaç duyduğu enerji ve destek sistemlerinin kullanılabilir olması ve olay boyunca gerekli güvenlik fonksiyonunu sürdürebilmesi gerekir.

Bu nedenle tasarım esaslı kaza analizinde "sistem var mı?" sorusundan daha kapsamlı olarak "sistem olay sırasında gerekli güvenlik fonksiyonunu gerçekleştirebiliyor mu?" sorusu değerlendirilir.

Tek hata da değerlendirmeye dahil olabilir

Tasarım esaslı kaza analizinde güvenlik açısından gerekli bir fonksiyonun gerçekleştirilmesi sırasında belirli bir tek ekipmanın arızalanması da dikkate alınabilir.

Bunun amacı güvenlik fonksiyonunun tek bir ekipmanın kusursuz çalışmasına bağımlı olmadığını göstermektir. Analiz, ilgili güvenlik düzenlemelerinden birinin kullanılamaması durumunda kalan düzenlemelerin gerekli fonksiyonu sürdürebilip sürdüremediğini ortaya koyar.

Burada önceki bölümlerde ele alınan yedeklilik, bağımsızlık, çeşitlilik ve ortak nedenli arıza kavramları önem kazanır. Çünkü birden fazla ekipmanın bulunması tek başına gerçek bağımsızlığı garanti etmez.

Destek sistemleri de analiz edilir

Güvenlik fonksiyonlarını gerçekleştiren ekipmanların ihtiyaç duyduğu enerji, kontrol, ölçüm ve diğer yardımcı hizmetler de olay koşullarında değerlendirilir.

Örneğin bir soğutma ekipmanının kullanılabilir olması, gerekli elektrik beslemesinin, kontrol sistemlerinin ve diğer destek hizmetlerinin de kullanılabilir olmasına bağlı olabilir.

Bu nedenle tasarım esaslı kaza analizinde ana güvenlik ekipmanı ile onu destekleyen sistemler arasında bulunan bağımlılık zinciri dikkate alınır.

İnsan müdahalesi gerekiyorsa

Bazı kaza senaryolarında işletme personelinin müdahalesi gerekli olabilir. Böyle bir müdahale analizde dikkate alınıyorsa, işlemin gerçekleştirilebilmesi için gerekli zaman, bilgi, göstergeler, prosedürler ve çalışma koşulları değerlendirilmelidir.

Operatörün müdahalesi, olayın fiziksel gelişimiyle birlikte ele alınır. Özellikle müdahalenin belirli bir zaman aralığında gerçekleştirilmesi gerekiyorsa, olayın o zamana kadar hangi koşullara ulaşacağı ve operatörün gerekli bilgiyi elde edip edemeyeceği önem taşır.

Olayın zaman içerisindeki gelişimi

Tasarım esaslı kaza analizi yalnızca başlangıç ve nihai durumları karşılaştırmaz. Olayın başlangıcından güvenli son duruma kadar olan süreç incelenir.

Örneğin bir parametre önce yükselip daha sonra güvenlik sistemlerinin devreye girmesiyle azalabilir. Bu nedenle yalnızca son değere bakılması yeterli değildir. En yüksek değer, bu değere ulaşma zamanı, olayın ne kadar süre devam ettiği ve güvenlik sistemlerinin hangi aşamada etkili olduğu da önemlidir.

Kabul kriterleriyle karşılaştırma

Analizin sonunda elde edilen fiziksel sonuçlar, ilgili kabul kriterleri ile karşılaştırılır. Bu kriterler olayın türüne ve değerlendirilen güvenlik fonksiyonuna göre farklılık gösterebilir.

Örneğin yakıt bütünlüğü, soğutma, basınç sınırları, güvenlik sistemlerinin performansı veya radyolojik sonuçlar için farklı kabul ölçütleri kullanılabilir.

Burada amaç yalnızca tek bir sayısal değerin sınırın altında kalmasını göstermek değildir. İlgili güvenlik fonksiyonunun ve onu koruyan güvenlik düzenlemelerinin olay boyunca yeterli olduğunu göstermek gerekir.

Analiz güvenli ve kararlı bir son duruma kadar sürdürülür

Bir kaza analizinin yalnızca olayın en yüksek sıcaklık veya basınç değerine ulaştığı noktada sonlandırılması yeterli değildir. Analiz edilen olay dizisinin tesisin güvenli ve kararlı bir duruma ulaşmasına kadar nasıl geliştiği de değerlendirilmelidir.

Güvenli son durumun ne olduğu tesisin tasarımına ve değerlendirilen olaya bağlı olarak tanımlanır. Önemli olan, gerekli güvenlik fonksiyonlarının sürdürüldüğü ve tesisin kontrol edilebilir, kararlı bir duruma getirilebildiğinin gösterilmesidir.

Her tasarım esaslı kaza aynı şekilde analiz edilmez

Nükleer tesislerde çok farklı başlangıç olayları ve olay dizileri bulunabilir. Her olay aynı fiziksel süreçleri etkilemediği için analizlerin kapsamı da olayın özelliklerine göre belirlenir.

Bazı olaylarda reaktör gücünün kontrolü ön plana çıkarken, bazı olaylarda soğutma ve ısı uzaklaştırma daha belirleyici olabilir. Başka olaylarda ise basınç sınırları, fiziksel bariyerler veya radyoaktif maddelerin tutulması açısından farklı değerlendirmeler gerekebilir.

Bu nedenle tasarım esaslı kazaların değerlendirilmesi, bütün olaylara aynı hesaplama yaklaşımını uygulamak yerine her olayın tesis üzerindeki fiziksel etkilerini ve zorladığı güvenlik fonksiyonlarını dikkate alan sistematik bir süreçtir.

Tasarım esaslı kaza analizinin temel soruları

Bir tasarım esaslı kaza değerlendirmesinde aşağıdaki sorular temel kontrol noktaları olarak düşünülebilir:

• Başlangıç olayı doğru biçimde tanımlandı mı?
• Tesisin başlangıç koşulları uygun biçimde belirlendi mi?
• Olayın fiziksel gelişimi doğru biçimde modellenebiliyor mu?
• Hangi güvenlik fonksiyonlarının korunması gerekiyor?
• Gerekli güvenlik sistemleri doğru zamanda devreye giriyor mu?
• Tek hata varsayımı altında güvenlik fonksiyonları korunabiliyor mu?
• Gerekli enerji ve destek sistemleri kullanılabilir durumda mı?
• Gerekli insan müdahaleleri için yeterli zaman ve bilgi var mı?
• Önemli fiziksel parametreler kabul edilebilir sınırlar içerisinde kalıyor mu?
• Tesis güvenli ve kararlı bir son duruma ulaşabiliyor mu?

Tasarım esaslı kaza analizinin gerçek amacı

Tasarım esaslı kaza analizinin amacı tek bir ekipmanın veya tek bir güvenlik sisteminin başarılı olduğunu göstermek değildir. Asıl amaç, belirlenen kaza koşulları altında tesis güvenlik mimarisinin bir bütün olarak yeterli olduğunu göstermektir.

Bunun için başlangıç olayı, güvenlik fonksiyonları, güvenlik sistemleri, destek sistemleri, tek hata varsayımı, insan müdahalesi, fiziksel bariyerler, hesaplama modelleri, belirsizlikler ve kabul kriterleri birlikte değerlendirilir.

Böylece tasarım esaslı kaza analizi, önceki bölümlerde ele alınan bütün kavramları tek bir değerlendirme zincirinde birleştirir:

Bu yaklaşım, deterministik güvenlik değerlendirmesinin temel mantığını oluşturur. Ancak tasarım esaslı kazaların deterministik olarak kabul edilebilir olması, tesisin güvenlik değerlendirmesinin tamamlandığı anlamına gelmez. Farklı olayların olasılıkları, olay dizileri ve bunların toplam risk üzerindeki katkıları da ayrıca incelenebilir.

Bu nedenle bir sonraki aşamada güvenlik değerlendirmesine olasılık boyutunun eklenmesi ve Olasılıksal Güvenlik Değerlendirmesi (PSA) yaklaşımının nasıl farklı bir bakış sağladığının ele alınması gerekir.

Modern nükleer güvenlik yaklaşımı yalnızca tasarım esaslı kazaların değerlendirilmesiyle sınırlı değildir. Tasarım esaslarında öngörülen koşulların ötesine geçen ve birden fazla güvenlik fonksiyonunu zorlayabilecek daha ağır olay dizileri de güvenlik değerlendirmesinin bir parçası olarak ele alınır.

Buradaki temel düşünce, tesisin yalnızca önceden belirlenmiş kaza koşullarında değil, tasarım varsayımlarının ötesine geçen koşullarda da mümkün olduğunca güvenliğini sürdürebilmesini sağlamaktır.

Bu nedenle tasarım ötesi koşulların değerlendirilmesi, "bu olay kesinlikle meydana gelecektir" anlamına gelmez. Amaç; böyle bir koşul ortaya çıktığında hangi güvenlik fonksiyonlarının etkilenebileceğini, hangi ilave güvenlik özelliklerinin kullanılabileceğini ve olayın sonuçlarının nasıl önlenebileceğini veya sınırlandırılabileceğini önceden değerlendirmektir.

Tasarım ötesi koşul ne demektir?

Bir nükleer tesis tasarlanırken belirli başlangıç olayları, ekipman arızaları, çevresel koşullar ve olay dizileri tanımlanır. Güvenlik sistemleri de bu koşullar altında gerekli güvenlik fonksiyonlarını yerine getirecek şekilde tasarlanır.

Ancak gerçek dünyadaki olaylar her zaman tek bir varsayım altında gerçekleşmez. Bir olay başka bir arızayı tetikleyebilir, birden fazla güvenlik fonksiyonu aynı anda zorlanabilir veya tesisin normal güvenlik düzenlemelerinin kullanılabilirliği beklenenden daha fazla azalabilir.

Tasarım ötesi koşullar, bu tür daha ağır koşulların güvenlik açısından nasıl yönetilebileceğinin değerlendirilmesini ifade eder.

Buradaki "ötesi" ifadesi, tesisin fiziksel olarak tamamen savunmasız olduğu bir sınır anlamına gelmez. Aksine, güvenlik değerlendirmesinin daha geniş bir olay yelpazesine taşınmasını ve savunma derinliğinin ilave katmanlarının incelenmesini ifade eder.

Neden tasarım esaslarının ötesine bakılır?

Güvenlik tasarımının temel amacı kazaları önlemek ve ortaya çıkan olayları kontrol altında tutmaktır. Ancak hiçbir mühendislik tasarımında bütün belirsizliklerin tamamen ortadan kaldırılması mümkün değildir.

Bu nedenle güvenlik değerlendirmesi yalnızca "tasarım koşullarında sistemler çalışıyor mu?" sorusuyla sınırlı bırakılmaz. Daha ağır koşullarda savunma derinliğinin hangi katmanlarının kullanılabilir olduğu ve olayın ilerlemesinin nasıl sınırlandırılabileceği de araştırılır.

Böylece güvenlik yaklaşımı, yalnızca kazayı önlemeye değil, kazanın önlenemediği veya ilk savunma katmanlarının yetersiz kaldığı durumda sonuçları azaltmaya da yönelir.

Hangi koşullar tasarım ötesi olarak değerlendirilebilir?

Tasarım ötesi koşulların kapsamı tesisin tasarımına, reaktör tipine ve güvenlik değerlendirmesinin kapsamına bağlıdır. Bu nedenle bütün tesisler için tek bir olay listesi vermek doğru değildir.

Bununla birlikte değerlendirmelerde; ciddi soğutma kaybı, uzun süreli ısı uzaklaştırma sorunları, birden fazla güvenlik sisteminin kullanılabilirliğinin azalması veya birden fazla güvenlik fonksiyonunun aynı olay tarafından zorlanması gibi koşullar ele alınabilir.

Bazı durumlarda dış tehlikeler de olayın gelişiminde önemli rol oynayabilir. Örneğin büyük bir doğal olay yalnızca başlangıç olayını oluşturmakla kalmayıp elektrik beslemesi, soğutma, ölçüm ve diğer destek fonksiyonlarını da aynı zaman diliminde etkileyebilir.

Burada önemli olan olayın adından çok, hangi güvenlik fonksiyonlarının ne ölçüde etkilendiğidir.

Birden fazla güvenlik fonksiyonu aynı anda zorlanabilir

Tasarım ötesi değerlendirmelerin önemli özelliklerinden biri, güvenlik fonksiyonlarının birbirinden tamamen bağımsız kabul edilmemesidir.

Tek bir olay bazı durumlarda aynı anda birden fazla güvenlik fonksiyonunu etkileyebilir. Örneğin bir dış tehlike hem elektrik beslemesini hem de bazı yardımcı sistemleri etkileyebilir. Bunun sonucunda yalnızca tek bir ekipmanın değil, birden fazla güvenlik fonksiyonunun kullanılabilirliği azalabilir.

Bu nedenle değerlendirmede yalnızca "hangi sistem arızalandı?" sorusu değil, "hangi güvenlik fonksiyonları aynı anda zorlanıyor?" sorusu da sorulur.

Ciddi yakıt hasarı da değerlendirme kapsamına girebilir

Tasarım ötesi koşulların bazıları, yakıtın soğutulmasının uzun süre yeterli şekilde sürdürülememesi gibi daha ağır sonuçlara ulaşabilen olay dizilerini içerebilir.

Böyle bir durumda güvenlik değerlendirmesinin amacı artık yalnızca normal tasarım sınırlarının korunup korunmadığını kontrol etmek değildir. Yakıtın daha fazla hasar görmesini önlemek, ısıyı uzaklaştırmak, radyoaktif maddelerin tutulmasını mümkün olduğunca sürdürmek ve olayın sonuçlarını sınırlandırmak gibi amaçlar ön plana çıkabilir.

Bu değerlendirmeler, olayın daha ağır bir duruma ilerleme ihtimalini ve böyle bir ilerleme gerçekleştiğinde mevcut güvenlik özelliklerinin nasıl kullanılabileceğini anlamaya yardımcı olur.

Önleme ve sonuçların azaltılması

Tasarım ötesi koşullara yönelik güvenlik yaklaşımı iki temel hedef etrafında düşünülebilir: olayın daha ağır bir duruma ilerlemesini önlemek ve ilerleme gerçekleşirse sonuçlarını sınırlandırmak.

Aktif sistemlerin ötesinde güvenlik özellikleri

Tasarım ötesi koşullarda yalnızca normal güvenlik sistemlerinin çalışmaya devam edeceği varsayımına dayanmak yeterli olmayabilir. Bu nedenle tasarımda bulunan pasif güvenlik özellikleri, fiziksel bariyerler, alternatif veya ilave güvenlik düzenlemeleri de değerlendirmeye dahil edilebilir.

Buradaki amaç, bütün güvenliği tek bir yedek sisteme devretmek değildir. Aksine, birden fazla savunma katmanının birbirini tamamlayarak olayın ilerlemesini sınırlandırmasıdır.

Böylece savunma derinliği, yalnızca normal güvenlik sistemlerinin yedeklenmesi anlamına gelmez. Gerektiğinde farklı fiziksel prensiplere, farklı sistemlere veya farklı koruma mekanizmalarına dayanan ilave savunma katmanlarını da kapsar.

Tasarım ötesi koşullarda güvenlik fonksiyonlarının önceliği

Ağır bir olay sırasında bütün sistemlerin aynı anda kullanılabilir durumda olması beklenmeyebilir. Bu nedenle hangi güvenlik fonksiyonlarının öncelikli olduğu ve bunların hangi sırayla korunması gerektiği önem kazanır.

Örneğin reaktörün durdurulması tek başına yeterli olmayabilir. Reaktör durdurulduktan sonra da artık ısının uzaklaştırılması gerekir. Soğutma sağlanırken aynı zamanda ilgili fiziksel bariyerlerin korunması ve tesisin durumunun izlenebilmesi gerekebilir.

Bu nedenle tasarım ötesi değerlendirme, güvenlik fonksiyonlarının zaman içerisindeki önceliklerini ve birbirleriyle olan ilişkilerini de ortaya koyar.

Deterministik ve olasılıksal yaklaşımlar birlikte kullanılabilir

Tasarım ötesi koşulların değerlendirilmesinde yalnızca tek bir analiz yöntemi kullanılmak zorunda değildir. Tesisin fiziksel davranışını anlamak için deterministik analizler, farklı olay dizilerinin olasılıklarını ve bunların risk üzerindeki katkılarını incelemek için ise olasılıksal değerlendirmeler kullanılabilir.

Deterministik yaklaşım temel olarak "bu koşul gerçekleşirse tesis nasıl davranır?" sorusuna odaklanır.

Olasılıksal yaklaşım ise buna "bu tür olay dizileri ne kadar olasıdır ve toplam riske katkıları nedir?" sorusunu ekler.

Bu iki yaklaşım birbirinin alternatifi olarak değil, güvenlik değerlendirmesinin farklı sorularını cevaplayan birbirini tamamlayıcı araçlar olarak düşünülebilir.

Belirsizlikler tasarım ötesi değerlendirmede de önemlidir

Ağır olayların analizinde belirsizlikler daha da önemli hale gelebilir. Çünkü olayın fiziksel gelişimi, ekipmanların kullanılabilirliği, insan müdahaleleri ve güvenlik özelliklerinin performansı farklı koşullara bağlı olabilir.

Bu nedenle analiz sonuçlarının yorumlanmasında kullanılan modellerin, parametrelerin ve varsayımların uygunluğu değerlendirilmelidir.

Daha önce ele alınan muhafazakâr yaklaşım, güvenlik marjı, model belirsizliği ve hassasiyet değerlendirmesi burada da önem taşır.

Tasarım ötesi koşullar neden önemlidir?

Tasarım ötesi koşulların değerlendirilmesi, güvenlik tasarımının zayıf noktalarının daha geniş bir perspektiften görülmesine yardımcı olur.

Örneğin bir güvenlik fonksiyonunun normal kaza koşullarında yeterli olduğu görülebilir. Ancak daha ağır bir olay sırasında aynı fonksiyonun destek sistemlerine olan bağımlılığı ortaya çıkabilir. Böylece tasarımın yalnızca ekipman düzeyinde değil, sistemler arası bağımlılıklar açısından da değerlendirilmesi mümkün olur.

Bu değerlendirmeler sonucunda gerektiğinde tasarım, işletme prosedürleri, bakım yaklaşımı, izleme olanakları veya kaza yönetimi düzenlemeleri yeniden gözden geçirilebilir.

Tasarım ötesi değerlendirme bir "felaket senaryosu" değildir

Tasarım ötesi koşulların incelenmesi bazen yalnızca en ağır ve en korkutucu senaryoların incelenmesi şeklinde anlaşılabilir. Oysa güvenlik değerlendirmesindeki yaklaşım bundan daha sistematiktir.

Burada amaç korkutucu bir senaryo üretmek değil, savunma derinliğinin sınırlarını anlamaktır. Hangi savunma katmanı hangi koşullarda kullanılabilir? Hangi güvenlik fonksiyonları korunabilir? Hangi fonksiyonlar birbirine bağımlıdır? Olayın ilerlemesini durdurmak için hangi ilave önlemler vardır?

Tasarım ötesi koşulların temel soruları

Böyle bir değerlendirmede temel olarak şu sorular sorulabilir:

• Tasarım esaslı güvenlik varsayımlarının ötesinde hangi koşullar ortaya çıkabilir?
• Bu koşullar hangi güvenlik fonksiyonlarını etkileyebilir?
• Birden fazla güvenlik fonksiyonu aynı anda zorlanabilir mi?
• Güvenlik sistemlerinin kullanılabilirliğini etkileyen ortak nedenler bulunuyor mu?
• Hangi ilave veya alternatif güvenlik özellikleri kullanılabilir?
• Olayın daha ağır bir duruma ilerlemesi nasıl önlenebilir?
• İlerleme önlenemezse sonuçlar nasıl sınırlandırılabilir?
• Gerekli güvenlik fonksiyonları ne kadar süre sürdürülebilmelidir?
• Deterministik ve olasılıksal analizler hangi sorulara cevap verebilir?
• Analizlerdeki belirsizlikler sonuçların yorumunu nasıl etkiliyor?

Sonuç: Güvenlik tasarımının sınırı değil, savunma derinliğinin sınanması

Tasarım ötesi koşulların değerlendirilmesi, nükleer güvenlik yaklaşımının önemli bir tamamlayıcı unsurudur. Tasarım esaslı kazalar için oluşturulan güvenlik düzenlemelerinin ötesinde, daha ağır olay dizilerinde savunma derinliğinin nasıl çalışacağı araştırılır.

Bu yaklaşım; ciddi yakıt hasarı ihtimali, uzun süreli soğutma sorunları, birden fazla güvenlik fonksiyonunun kaybı, destek sistemlerinin etkilenmesi ve dış tehlikelerin birden fazla sistemi aynı anda zorlaması gibi durumların değerlendirilmesini kapsayabilir.

Ancak burada amaç "kazayı kesin olarak önlemek" gibi gerçekçi olmayan bir mutlaklık oluşturmak değildir. Mühendislik yaklaşımı; kazayı önlemek, olayın ilerlemesini durdurmak, güvenlik fonksiyonlarını korumak, fiziksel bariyerleri mümkün olduğunca sürdürmek ve sonuçları sınırlandırmak şeklinde katmanlıdır.

Böylece güvenlik değerlendirmesi yalnızca "tasarım esaslı kaza sırasında ne olur?" sorusuyla sınırlı kalmaz. Bir sonraki aşamada, "farklı olay dizileri ne kadar olasıdır ve tesisin toplam güvenlik riskine ne kadar katkıda bulunurlar?" sorusu da önem kazanır.

Bu soru bizi güvenlik değerlendirmesinin diğer önemli boyutuna, Olasılıksal Güvenlik Değerlendirmesine (PSA) götürür.

Deterministik güvenlik analizi, belirli bir başlangıç olayı gerçekleştiğinde tesisin fiziksel olarak nasıl davranacağını inceleyen temel araçlardan biridir. Ancak güvenliğin bütünü açısından yalnızca "olay gerçekleşirse ne olur?" sorusunun cevaplanması yeterli değildir.

Bir diğer önemli soru da şudur: Hangi olay dizileri daha olasıdır, hangi arıza kombinasyonları güvenlik açısından daha önemlidir ve bunlar toplam riske ne ölçüde katkıda bulunur?

Bu noktada Olasılıksal Güvenlik Değerlendirmesi (PSA – Probabilistic Safety Assessment) devreye girer. PSA, tesisin güvenliğini etkileyebilecek olayları ve olay dizilerini olasılık boyutuyla inceleyerek güvenlik açısından önemli risk katkılarının belirlenmesine yardımcı olur.

PSA'nın amacı yalnızca tek tek ekipmanların arıza olasılıklarını hesaplamak değildir. Başlangıç olayları, ekipman arızaları, güvenlik sistemlerinin başarısızlıkları, insan hataları, ortak nedenli arızalar ve farklı olay gelişim yolları birlikte değerlendirilerek tesisin güvenlik mimarisinin hangi noktalarda daha fazla risk ürettiği araştırılır.

PSA neden gereklidir?

Bir tesis çok güvenilir ekipmanlardan oluşsa bile, güvenlik açısından önemli olaylar tek bir ekipmanın arızasından kaynaklanmayabilir. Birden fazla ekipmanın farklı zamanlarda arızalanması, insan hataları veya ortak bir nedenin birden fazla sistemi etkilemesi sonucunda daha karmaşık olay dizileri ortaya çıkabilir.

Deterministik analiz bu olay dizilerinin fiziksel sonuçlarını değerlendirmede güçlüdür. PSA ise farklı olay dizilerinin göreli olasılıklarını dikkate alarak hangi yolların güvenlik açısından daha fazla önem taşıdığını ortaya koymaya yardımcı olur.

Böylece güvenlik değerlendirmesi yalnızca sonuçların büyüklüğüne değil, sonuçlara götüren olay yollarının olasılığına da bakabilir.

PSA'nın temel mantığı

Basitleştirilmiş olarak PSA şu zincir üzerinden düşünülebilir: bir başlangıç olayı meydana gelir, ardından tesisin güvenlik sistemlerinin ve diğer savunma özelliklerinin başarılı veya başarısız olmasına bağlı olarak farklı olay yolları ortaya çıkar.

Bu yolların her biri farklı bir sonuca ulaşabilir. PSA, bu olay yollarının oluşma olasılıklarını değerlendirerek güvenlik açısından önemli sonuçların hangi kombinasyonlardan kaynaklandığını belirlemeye çalışır.

Olay ağacı: olaydan farklı sonuçlara giden yollar

Olay ağacı, bir başlangıç olayından sonra tesisin farklı güvenlik fonksiyonlarının başarılı veya başarısız olmasına bağlı olarak ortaya çıkabilecek olay dizilerini sistematik biçimde göstermeye yarar.

Örneğin bir başlangıç olayından sonra bir güvenlik fonksiyonunun başarılı olması bir yolu, başarısız olması ise başka bir yolu oluşturabilir. Daha sonra ikinci bir güvenlik fonksiyonunun sonucu bu yolları yeniden dallandırabilir.

Böylece tek bir başlangıç olayından çok sayıda farklı olay dizisi ortaya çıkabilir.

Olay ağacının temel amacı yalnızca dallanma çizmek değildir. Her dalın hangi güvenlik fonksiyonlarının kullanılabilirliğine bağlı olduğunu ve sonunda hangi güvenlik durumuna ulaşıldığını sistematik biçimde gösterebilmektir.

Hata ağacı: bir güvenlik fonksiyonu nasıl kaybedilir?

Olay ağacının tersine, hata ağacı belirli bir istenmeyen sonucun veya güvenlik fonksiyonunun kaybedilmesinin hangi arıza kombinasyonlarından kaynaklanabileceğini incelemek için kullanılır.

Bir güvenlik fonksiyonunun kaybedilmesi tek bir ekipmanın arızasından kaynaklanabileceği gibi, birden fazla ekipmanın birlikte arızalanması veya ortak bir nedenin birden fazla ekipmanı etkilemesi sonucunda da meydana gelebilir.

Hata ağacı bu ilişkileri mantıksal bir yapı içerisinde inceleyerek hangi arıza kombinasyonlarının güvenlik açısından kritik olduğunu anlamaya yardımcı olur.

Başlangıç olaylarının sıklığı önemlidir

PSA'da başlangıç olaylarının yalnızca mümkün olup olmadığı değil, ne sıklıkta ortaya çıkabilecekleri de önem taşır.

Çok ağır sonuçlara sahip bir olay son derece düşük bir sıklığa sahip olabilir. Buna karşılık daha hafif sonuçlara sahip başka bir olay çok daha sık meydana gelebilir. PSA, bu farklılıkları aynı değerlendirme çerçevesinde incelemeye yardımcı olur.

Böylece güvenlik değerlendirmesinde yalnızca "en ağır sonuç nedir?" sorusu değil, "bu sonuca götüren olay dizisinin olasılığı nedir?" sorusu da ele alınır.

Ekipman arızaları nasıl değerlendirilir?

PSA'nın önemli girdilerinden biri, güvenlik açısından önemli ekipmanların başarısız olma olasılıklarına ilişkin verilerdir.

Bu değerlendirmelerde ekipmanın çalışma şekli, işletme koşulları, bakım ve test faaliyetleri, kullanım süresi ve uygun güvenilirlik verileri gibi faktörler dikkate alınabilir.

Ancak PSA'da ekipmanların arıza olasılıklarını tek tek bilmek yeterli değildir. Bu ekipmanların olay dizisi içerisindeki fonksiyonel ilişkileri ve bağımlılıkları de değerlendirilmelidir.

İnsan hatası da risk değerlendirmesine dahil edilir

Nükleer tesislerde güvenlik yalnızca fiziksel ekipmanlara bağlı değildir. İşletme personelinin gerçekleştirdiği işlemler de bazı olay dizilerinin gelişimini etkileyebilir.

Bu nedenle PSA kapsamında uygun durumlarda insan eylemleri ve insan hataları da değerlendirilir. Burada amaç insanı "güvenilmez bir ekipman" gibi değerlendirmek değildir. İnsan eyleminin hangi koşullarda gerekli olduğu, mevcut bilgi, zaman, prosedürler ve insan-makine arayüzü gibi faktörlerle birlikte ele alınır.

Bu yaklaşım, önceki bölümlerde ele alınan insan faktörlerinin olasılıksal güvenlik değerlendirmesine de taşınmasını sağlar.

Ortak nedenli arızalar neden önemlidir?

Güvenlik tasarımında yedeklilik önemli bir savunma mekanizmasıdır. Ancak iki veya daha fazla ekipmanın bağımsız olduğu varsayılırken bunların aynı fiziksel, elektriksel, çevresel veya tasarımsal nedenden etkilenmesi mümkünse gerçek güvenilirlik beklenenden düşük olabilir.

Bu durum ortak nedenli arıza olarak değerlendirilebilir. PSA, bu tür bağımlılıkların olay dizilerine nasıl katkıda bulunabileceğini incelemek için önemli bir araçtır.

Böylece PSA, yalnızca ekipmanların tek tek arıza olasılıklarını değil, birden fazla savunma katmanının aynı nedenle etkilenebileceği durumları da dikkate alabilir.

PSA bize "risk nereden geliyor?" sorusunu sorar

PSA'nın en önemli faydalarından biri, toplam riskin hangi olaylardan ve hangi olay dizilerinden kaynaklandığını anlamaya yardımcı olmasıdır.

Örneğin analiz sonucunda toplam risk katkısının önemli bir bölümünün belirli bir başlangıç olayından, belirli bir güvenlik fonksiyonunun kaybından veya belirli bir bağımlılık türünden kaynaklandığı görülebilir.

Bu bilgi, güvenlik tasarımının ve işletme yaklaşımının geliştirilmesi açısından değerli olabilir.

PSA güvenliğin tamamı değildir

PSA çok güçlü bir güvenlik değerlendirme aracı olmakla birlikte, tek başına nükleer güvenliğin bütününü temsil etmez.

Bir olayın olasılıksal olarak düşük bulunması, o olayın deterministik açıdan değerlendirilmesine gerek olmadığı anlamına gelmez. Benzer şekilde, deterministik bir analizde kabul kriterlerinin karşılanması da olayın olasılık boyutunun önemsiz olduğu anlamına gelmez.

Bu nedenle modern güvenlik yaklaşımında deterministik ve olasılıksal yöntemler birbirinin alternatifi değil, birbirini tamamlayan yaklaşımlar olarak kullanılır.

PSA'nın farklı seviyeleri bulunabilir

Olasılıksal güvenlik değerlendirmesi tek bir analiz seviyesinden oluşmak zorunda değildir. Değerlendirmenin kapsamına ve amacına bağlı olarak farklı seviyeler kullanılabilir.

Genel olarak Seviye 1 PSA, başlangıç olaylarından başlayarak çekirdek hasarına kadar uzanan olay dizilerini ve çekirdek hasarı riskini incelemeye odaklanır.

Seviye 2 PSA, çekirdek hasarı sonrasında tesis içerisindeki olayların ilerlemesini ve radyoaktif maddelerin çevreye salınmasıyla ilişkili süreçleri daha ayrıntılı biçimde ele alır.

Seviye 3 PSA ise olası radyoaktif salımların tesis dışındaki sonuçlarını ve toplum üzerindeki radyolojik riskleri değerlendiren daha ileri bir kapsamı ifade eder.

Bu seviyeler birbirinden tamamen bağımsız çalışmalar değildir. Daha ileri seviyeler, önceki seviyelerde elde edilen olay dizileri ve sonuçlar üzerine inşa edilir.

PSA yalnızca "tek bir risk sayısı" üretmek değildir

PSA sonuçları bazen tek bir toplam risk değeri üzerinden anlatılabilir. Ancak böyle bir yaklaşım PSA'nın asıl mühendislik değerini tam olarak göstermez.

Asıl önemli bilgilerden biri, toplam sonuca hangi olayların, hangi sistem arızalarının, hangi insan eylemlerinin ve hangi bağımlılıkların katkıda bulunduğudur.

Bu nedenle PSA, riskin nicel değerinin yanı sıra riskin yapısını ve kaynaklarını anlamaya yarayan bir mühendislik aracıdır.

PSA sonuçları tasarımı nasıl etkileyebilir?

PSA sonucunda belirli bir güvenlik fonksiyonunun veya belirli bir olay dizisinin toplam risk içerisinde önemli bir katkıya sahip olduğu görülürse, bunun altında yatan nedenler araştırılabilir.

Gerekli görülmesi halinde tasarımda değişiklik yapılabilir, yedeklilik veya bağımsızlık artırılabilir, destek sistemleri yeniden değerlendirilebilir veya işletme ve bakım yaklaşımları geliştirilebilir.

Böylece PSA yalnızca mevcut tasarımın değerlendirilmesinde değil, tasarımın iyileştirilmesinde de kullanılabilecek bir bilgi kaynağı haline gelir.

Belirsizlik PSA'da da önemlidir

PSA sonuçları da belirsizliklerden bağımsız değildir. Başlangıç olaylarının sıklıkları, ekipman güvenilirlik verileri, insan hatası modelleri, ortak nedenli arıza varsayımları ve kullanılan modelleme yöntemleri belirli belirsizlikler içerebilir.

Bu nedenle PSA sonucunda elde edilen sayılar mutlak gerçeklik olarak değil, kullanılan veri, model ve varsayımlar çerçevesinde değerlendirilmelidir.

Özellikle düşük olasılıklı olaylarda veri eksikliği ve model belirsizlikleri daha önemli hale gelebilir. Bu nedenle PSA'nın sonuçları uygun belirsizlik değerlendirmeleri ve mühendislik yargısıyla birlikte yorumlanmalıdır.

Deterministik analiz ile PSA nasıl birleşir?

Deterministik analiz ve PSA farklı sorulara cevap verir, ancak aynı güvenlik fonksiyonları ve aynı tesis davranışı hakkında birbirini tamamlayan bilgiler sağlayabilir.

Deterministik analiz, belirli bir olay dizisinin fiziksel sonuçlarını ve güvenlik fonksiyonlarının yeterliliğini ortaya koyabilir. PSA ise bu olay dizisinin hangi başarısızlık kombinasyonlarıyla ortaya çıkabileceğini ve toplam risk içerisindeki göreli önemini inceleyebilir.

PSA'nın temel soruları

Bir olasılıksal güvenlik değerlendirmesinde genel olarak aşağıdaki sorular ele alınabilir:

• Hangi başlangıç olayları güvenlik açısından önemlidir?
• Bu başlangıç olayları ne sıklıkta ortaya çıkabilir?
• Başlangıç olayından sonra hangi güvenlik fonksiyonlarının başarılı olması gerekir?
• Bu güvenlik fonksiyonları hangi ekipmanlara ve destek sistemlerine bağımlıdır?
• Hangi ekipman arızaları güvenlik fonksiyonunun kaybedilmesine katkıda bulunabilir?
• İnsan hataları olay dizisini nasıl etkileyebilir?
• Ortak nedenli arızalar birden fazla savunma katmanını aynı anda etkileyebilir mi?
• Hangi olay dizileri toplam risk içerisinde daha önemli katkıya sahiptir?
• Tasarım veya işletme açısından hangi iyileştirmeler riski azaltabilir?

Sonuç: Olasılık boyutunun güvenlik değerlendirmesine eklenmesi

Olasılıksal güvenlik değerlendirmesi, nükleer tesislerde güvenliğin yalnızca belirli kazaların sonuçlarını incelemekten ibaret olmadığını gösterir. Güvenliği etkileyen olayların hangi yollarla gelişebileceği, bu yolların ne kadar olası olduğu ve toplam risk içerisindeki katkılarının ne olduğu da önemlidir.

Olay ağaçları, hata ağaçları, ekipman güvenilirlikleri, insan hataları, ortak nedenli arızalar ve başlangıç olaylarının sıklıkları birlikte değerlendirilerek tesisin güvenlik mimarisinin farklı yönleri incelenebilir.

Ancak PSA, deterministik güvenlik analizinin yerine geçmez. İyi bir güvenlik değerlendirmesinde iki yaklaşım birbirini tamamlar: deterministik analiz olayın fiziksel sonuçlarını, olasılıksal analiz ise olay yollarının ve arıza kombinasyonlarının risk içindeki önemini ortaya koyar.

Böylece güvenlik değerlendirmesi, yalnızca tek tek kazaların incelenmesinden çıkarak tesisin bütün güvenlik mimarisini, olay dizilerini, bağımlılıklarını ve risk katkılarını birlikte değerlendiren daha kapsamlı bir yapıya ulaşır.

Bununla birlikte PSA sonuçları da model, veri ve varsayım belirsizliklerinden etkilenebilir. Bu nedenle bir sonraki aşamada belirsizlik, duyarlılık ve sonuçların yorumlanması konularının ayrıca ele alınması önemlidir.

Bir nükleer tesisin güvenliği, tesis sınırları içerisindeki reaktör, güvenlik sistemleri ve fiziksel bariyerlerden ibaret değildir. Tesisin bulunduğu saha ve çevresindeki koşullar da güvenlik değerlendirmesinin ayrılmaz bir parçasıdır.

Çünkü tesis dışından kaynaklanan bir tehlike, tesis içerisindeki birden fazla sistemi aynı anda etkileyebilir. Bu nedenle güvenlik değerlendirmesinde yalnızca "tesisin içinde ne var?" sorusu değil, "tesis nerede bulunuyor ve bulunduğu çevre tesisi nasıl etkileyebilir?" sorusu da sorulur.

Saha değerlendirmesi; doğal ve insan kaynaklı dış tehlikelerin belirlenmesini, bu tehlikelerin tesis üzerindeki fiziksel etkilerinin değerlendirilmesini ve gerekli güvenlik fonksiyonlarının bu koşullar altında korunup korunamayacağının incelenmesini kapsar.

Saha değerlendirmesi neden gereklidir?

Bir tesisin güvenlik sistemleri ne kadar iyi tasarlanmış olursa olsun, bu sistemlerin çalışacağı fiziksel çevre güvenlik açısından önemlidir. Deprem, sel, aşırı sıcaklık, kuvvetli rüzgâr veya başka bir dış tehlike, tesisin birden fazla güvenlik sistemini aynı anda etkileyebilir.

Örneğin bir dış tehlike yalnızca reaktör yapısına yük getirmeyebilir. Aynı olay elektrik beslemelerini, soğutma sistemlerini, yardımcı hizmetleri, ölçüm ve kontrol ekipmanlarını ve tesise ulaşımı da etkileyebilir.

Bu nedenle saha değerlendirmesinin amacı yalnızca tehlikenin varlığını belirlemek değil, tehlikenin tesisin güvenlik mimarisiyle nasıl etkileşeceğini anlamaktır.

Hangi dış tehlikeler değerlendirilir?

Saha değerlendirmesinde dikkate alınacak tehlikeler tesisin bulunduğu bölgenin özelliklerine bağlıdır. Doğal tehlikelerin yanı sıra insan faaliyetlerinden kaynaklanabilecek dış olaylar da değerlendirme kapsamına girebilir.

Tehlikeyi bilmek yeterli değildir

Saha değerlendirmesinde yalnızca "bu bölgede deprem var" veya "bu bölgede sel riski bulunuyor" demek yeterli değildir. Güvenlik açısından asıl önemli olan, belirlenen tehlikenin tesis üzerinde hangi fiziksel etkilere yol açabileceğidir.

Örneğin bir deprem için yalnızca depremin büyüklüğüne bakılması yeterli değildir. Sahanın jeolojik ve zemin özellikleri, beklenen yer hareketleri ve bunların tesis yapıları ile ekipmanları üzerindeki etkileri birlikte değerlendirilmelidir.

Benzer şekilde bir sel olayında yalnızca su seviyesinin yükselmesi değil; suyun hangi yapılara ulaşabileceği, elektrik ve yardımcı sistemleri etkileyip etkileyemeyeceği ve güvenlik fonksiyonlarını nasıl zorlayabileceği değerlendirilmelidir.

Dış tehlike birden fazla sistemi aynı anda etkileyebilir

Dış tehlikelerin önemli özelliklerinden biri, ortak nedenli etki oluşturabilmeleridir. Tesis içerisinde birbirinden bağımsız olması beklenen güvenlik sistemleri, tesis dışından gelen aynı olaydan aynı anda etkilenebilir.

Örneğin büyük bir doğal olay, birden fazla elektrik beslemesini, bazı yardımcı hizmetleri veya ulaşım olanaklarını aynı zaman diliminde etkileyebilir. Böyle bir durumda tesisin güvenlik değerlendirmesi yalnızca tek tek ekipmanların güvenilirliğine bakarak tamamlanamaz.

Bu nedenle dış tehlikeler ile önceki bölümlerde ele alınan yedeklilik, bağımsızlık ve ortak nedenli arıza kavramları arasında doğrudan bir ilişki vardır.

Saha koşulları normal işletmede de önemlidir

Saha değerlendirmesi yalnızca kaza koşullarına yönelik değildir. Tesisin normal işletmesi sırasında çevresel koşulların güvenlik açısından önemli sistemlerin performansını etkileyip etkilemediği de dikkate alınabilir.

Sıcaklık, su kaynaklarının özellikleri, meteorolojik koşullar ve diğer çevresel parametreler bazı sistemlerin çalışma koşullarını etkileyebilir.

Bu nedenle saha değerlendirmesi, normal işletme ile kaza koşulları arasında ayrı bir dünya oluşturmak yerine, tesisin bütün yaşam döngüsü boyunca çevresiyle olan etkileşimini dikkate alan bir yaklaşım olarak düşünülmelidir.

Saha ile güvenlik tasarımı arasında doğrudan ilişki vardır

Saha özellikleri yalnızca tesis seçildikten sonra kontrol edilen çevresel bilgiler değildir. Saha koşulları, tesisin güvenlik tasarımının belirlenmesinde de önemli girdiler sağlayabilir.

Örneğin belirli bir sahadaki sismik, meteorolojik, hidrolojik veya jeolojik koşullar; yapıların, sistemlerin ve ekipmanların hangi koşullara dayanacak şekilde tasarlanması gerektiğini etkileyebilir.

Bu nedenle güvenlik değerlendirmesinde saha ile tasarım arasında sürekli bir bilgi alışverişi bulunur.

Saha koşulları ile acil durum hazırlığı arasındaki ilişki

Bir nükleer tesisin acil durum planlaması da bulunduğu çevreden bağımsız düşünülemez. Bir kaza durumunda tesis dışındaki koşullar, acil durum müdahalesinin uygulanabilirliğini etkileyebilir.

Bölgedeki nüfus dağılımı, ulaşım olanakları, iletişim altyapısı, meteorolojik koşullar ve ilgili dış kurumların müdahale kapasitesi gibi faktörler bu açıdan önem taşıyabilir.

Buradaki amaç belirli bir acil durum eylemini önceden ayrıntılı olarak tarif etmek değil; tesis dışındaki koşulların acil durum hazırlığının uygulanabilirliği üzerindeki etkisini değerlendirmektir.

Nüfus ve çevresel koşullar neden değerlendirilir?

Nükleer güvenlik değerlendirmesinin nihai amacı yalnızca tesis ekipmanlarını korumak değildir. Güvenlik yaklaşımı, radyoaktif maddelerin kontrol altında tutulmasını ve gerekli durumlarda insanların ve çevrenin korunmasını da kapsar.

Bu nedenle saha değerlendirmesinde bölgenin nüfus özellikleri, yerleşim yapısı ve çevresel koşullar da dikkate alınabilir. Özellikle ciddi kaza senaryolarında tesis ile çevresi arasındaki ilişki güvenlik değerlendirmesinin önemli bir parçasıdır.

Böylece saha değerlendirmesi, tesis güvenliği ile halkın korunması arasındaki bağlantıyı kuran unsurlardan biri haline gelir.

Dış tehlikelerin birleşik etkileri

Gerçek hayatta dış tehlikeler her zaman birbirinden tamamen bağımsız gerçekleşmeyebilir. Bir doğal olay başka bir ikincil tehlikeyi tetikleyebilir veya bir olayın etkileri başka bir çevresel koşulla birleşebilir.

Örneğin büyük bir doğal olay; zemin koşullarını, ulaşımı, elektrik altyapısını veya su kaynaklarını aynı zaman diliminde etkileyebilir. Bu nedenle güvenlik değerlendirmesinde yalnızca tek tek tehlikelerin değil, birbirleriyle ilişkili etkilerin de uygun kapsamda değerlendirilmesi önemlidir.

Saha değerlendirmesi yaşam döngüsü boyunca devam eder

Saha koşullarının değerlendirilmesi yalnızca tesisin tasarım aşamasında tamamlanan bir çalışma olarak düşünülmemelidir. Yeni bilimsel bilgiler, yeni ölçümler, işletme deneyimleri ve saha koşullarına ilişkin yeni değerlendirmeler güvenlik değerlendirmesine yansıtılabilir.

Benzer şekilde tesisin yaşam döngüsü boyunca yapılan değişiklikler veya çevrede meydana gelen önemli değişimler güvenlik değerlendirmesinin yeniden gözden geçirilmesini gerektirebilir.

Böylece saha değerlendirmesi de genel güvenlik değerlendirmesi gibi tek seferlik bir çalışma değil, yaşam döngüsü boyunca güncellenebilen bir süreç haline gelir.

Saha değerlendirmesinin temel soruları

Bir nükleer tesisin sahası değerlendirilirken genel olarak şu sorular sorulabilir:

• Sahanın doğal ve insan kaynaklı dış tehlikeleri nelerdir?
• Bu tehlikelerin olası şiddeti ve sıklığı nedir?
• Sahanın jeolojik, sismik, hidrolojik ve meteorolojik özellikleri nelerdir?
• Dış tehlikeler tesisin hangi yapı, sistem ve ekipmanlarını etkileyebilir?
• Aynı dış olay birden fazla güvenlik sistemini aynı anda etkileyebilir mi?
• Dış tehlike altında gerekli güvenlik fonksiyonları korunabiliyor mu?
• Elektrik, soğutma, ölçüm, iletişim ve diğer destek fonksiyonları nasıl etkilenebilir?
• Saha koşulları acil durum müdahalesinin uygulanabilirliğini etkileyebilir mi?
• Bölgedeki nüfus ve çevresel koşullar güvenlik değerlendirmesine nasıl yansıtılmalıdır?
• Yeni bilgi veya değişen koşullar ortaya çıktığında saha değerlendirmesi nasıl güncellenmelidir?

Sonuç: Güvenlik tesis sınırında başlamaz

Bir nükleer tesisin güvenliği, yalnızca reaktör binasının veya güvenlik sistemlerinin tasarımıyla belirlenmez. Tesisin bulunduğu saha, çevresel koşullar, dış tehlikeler ve tesis ile çevresi arasındaki etkileşimler de güvenlik değerlendirmesinin önemli parçalarıdır.

Deprem, sel, tsunami, aşırı meteorolojik olaylar, jeolojik koşullar ve insan kaynaklı dış olaylar; yapıların ve ekipmanların yanı sıra elektrik, soğutma, yardımcı sistemler, iletişim ve acil durum müdahalesi gibi güvenlik açısından önemli fonksiyonları da etkileyebilir.

Bu nedenle saha değerlendirmesinin temel mantığı, tehlikeleri yalnızca listelemek değil; tehlike → fiziksel etki → tesis sistemleri → güvenlik fonksiyonları → olası sonuçlar zincirini değerlendirmektir.

Böylece güvenlik değerlendirmesi, tesisin içindeki sistemlerden başlayıp saha ve çevre koşullarına kadar genişleyen bütünsel bir yapıya ulaşır. Bir sonraki aşamada ise bu dış tehlikelerin tesis içerisinde yapıları, sistemleri ve ekipmanları nasıl etkilediği daha ayrıntılı olarak incelenebilir.

Dış tehlikelerin güvenlik açısından değerlendirilmesinde yalnızca tehlikenin adı, büyüklüğü veya meydana gelme olasılığı dikkate alınmaz. Asıl önemli olan, tehlikenin tesis üzerinde hangi fiziksel etkiyi oluşturabileceği ve bu etkinin hangi güvenlik fonksiyonlarını zorlayabileceğidir.

Bu nedenle saha değerlendirmesi ile güvenlik analizi arasında doğrudan bir neden-sonuç zinciri kurulur. Bir dış olay önce fiziksel bir etkiye dönüşür; bu etki tesisin belirli yapı, sistem veya bileşenlerini etkiler; bunların kullanılabilirliği değişirse bir veya daha fazla güvenlik fonksiyonu zorlanabilir.

Tehlikenin büyüklüğü tek başına yeterli değildir

Bir dış tehlikenin büyüklüğü ile tesis üzerindeki etkisi arasında doğrudan ve basit bir ilişki bulunmayabilir. Aynı büyüklükteki bir doğal olay, farklı saha koşullarında farklı fiziksel sonuçlar oluşturabilir.

Bu nedenle değerlendirmede tehlikenin kaynağı ve şiddetinin yanı sıra saha özellikleri, olayın tesise ulaşma biçimi, fiziksel etkisinin niteliği ve tesisin tasarımı birlikte dikkate alınır.

Örneğin bir deprem değerlendirmesinde yalnızca depremin büyüklüğüne bakmak yeterli değildir. Sahanın zemin özellikleri ve beklenen yer hareketleri, yapıların ve ekipmanların maruz kalacağı etkilerin belirlenmesinde önem taşır.

Deprem yalnızca yapıya gelen bir yük değildir

Bir deprem, tesisin taşıyıcı yapıları üzerinde mekanik etkiler oluşturabileceği gibi, güvenlik açısından önemli çok sayıda sistem ve bileşeni de etkileyebilir.

Elektrik ekipmanları, kablolar, pompalar, boru hatları, vanalar, ölçüm ve kontrol ekipmanları ve bunları destekleyen sistemler deprem kaynaklı fiziksel etkilere maruz kalabilir.

Bu nedenle deprem güvenliği yalnızca "bina ayakta kalacak mı?" sorusundan ibaret değildir. Daha önemli soru, "deprem sonrasında gerekli güvenlik fonksiyonları sürdürülebilecek mi?" sorusudur.

Bir dış olay birden fazla sistemi aynı anda etkileyebilir

Dış tehlikelerin güvenlik açısından önemli özelliklerinden biri, aynı olayın birbirinden bağımsız olması beklenen birden fazla sistem üzerinde eş zamanlı etki oluşturabilmesidir.

Tesis içerisinde iki sistem fiziksel olarak veya işlevsel olarak birbirinden ayrılmış olabilir. Ancak her ikisi de aynı dış tehlikeye maruz kalıyorsa, tehlike bu sistemler arasında ortak bir etki mekanizması oluşturabilir.

Bu durum, önceki bölümlerde ele alınan ortak nedenli arıza kavramıyla doğrudan ilişkilidir. Dolayısıyla dış tehlikelerin değerlendirilmesi, yalnızca tek tek ekipmanların dayanımının incelenmesi anlamına gelmez.

Elektrik ve destek sistemleri neden özellikle önemlidir?

Bir güvenlik fonksiyonunun gerçekleştirilmesi çoğu zaman yalnızca ana ekipmana bağlı değildir. Elektrik beslemesi, kontrol, ölçüm, soğutma ve diğer yardımcı hizmetler de fonksiyonun sürdürülebilmesi için gerekli olabilir.

Dış bir tehlike ana güvenlik ekipmanına doğrudan zarar vermese bile, onu çalıştırmak için gerekli bir destek sistemini etkileyebilir. Böyle bir durumda ekipmanın fiziksel olarak sağlam kalması, güvenlik fonksiyonunun mutlaka gerçekleştirilebildiği anlamına gelmez.

Bu nedenle dış tehlike analizinde ekipmanın kendisi kadar onu destekleyen sistemlerin de etkilenebilirliği değerlendirilmelidir.

Dış tehlike bir başlangıç olayına dönüşebilir

Dış tehlike, güvenlik değerlendirmesinde bir başlangıç olayı olarak ele alınabilir. Örneğin doğal bir olayın meydana gelmesi, tesisin normal işletme durumundan ayrılmasına neden olabilir.

Ancak dış tehlikenin kendisi olay dizisinin tamamı değildir. Asıl değerlendirme, bu başlangıç olayından sonra tesisin nasıl davrandığıyla ilgilidir.

Bu nedenle analiz şu sorularla devam eder:

• Dış olay tesisin hangi sistemlerini etkileyebilir?
• Hangi güvenlik fonksiyonları zorlanabilir?
• Hangi güvenlik sistemleri kullanılabilir durumda kalır?
• Hangi destek sistemleri kullanılabilir durumda kalır?
• Birden fazla sistem aynı nedenle etkilenebilir mi?
• Tesis güvenli bir duruma getirilebilir mi?

İkincil tehlikeler de hesaba katılabilir

Bazı dış olaylar yalnızca doğrudan etkiler oluşturmaz; başka fiziksel olayları da tetikleyebilir. Bu nedenle dış tehlikenin değerlendirilmesinde ikincil etkiler de uygun kapsamda dikkate alınabilir.

Örneğin büyük bir doğal olayın ardından zemin hareketleri, su baskını, altyapı hasarı veya başka çevresel etkiler ortaya çıkabilir. Bu ikincil etkiler de tesisin yapı, sistem ve bileşenlerini etkileyebilir.

Böylece dış tehlike değerlendirmesi yalnızca birinci dereceden fiziksel etkiyi değil, olayın oluşturabileceği birbirini izleyen etkileri de dikkate alan bir yapıya dönüşür.

Fiziksel etkiden güvenlik fonksiyonuna geçiş

Dış tehlike analizinin en önemli aşamalarından biri, fiziksel etkinin güvenlik fonksiyonuyla ilişkilendirilmesidir. Çünkü bir yapı veya ekipmanın hasar görmesi ancak belirli bir güvenlik fonksiyonunu etkilediğinde güvenlik açısından anlam kazanır.

Örneğin bir ekipmanın kullanılabilirliğinin azalması, artık ısının uzaklaştırılması için gerekli bir fonksiyonu etkiliyorsa güvenlik açısından önemli hale gelir. Benzer şekilde bir ölçüm kanalının kaybı, gerekli izleme veya kontrol fonksiyonunu etkiliyorsa olay dizisinin gelişimini değiştirebilir.

Bu nedenle değerlendirme şu şekilde yapılabilir: hangi bileşen etkileniyor → hangi fonksiyon etkileniyor → bu fonksiyon başka hangi sistemlerle destekleniyor → olayın sonucu nasıl değişiyor?

Birden fazla dış tehlike birlikte değerlendirilebilir

Gerçek dünyadaki olaylar her zaman birbirinden tamamen bağımsız değildir. Bir dış olay başka bir olayı tetikleyebilir veya farklı tehlikelerin etkileri aynı zaman diliminde ortaya çıkabilir.

Bu nedenle saha değerlendirmesinde yalnızca tehlikelerin tek tek ele alınması yeterli olmayabilir. Uygun durumlarda tehlikelerin kombinasyonları ve birbirleriyle olan fiziksel ilişkileri de değerlendirilir.

Örneğin bir doğal olayın aynı zamanda elektrik altyapısını, ulaşımı ve su kaynaklarını etkilediği bir durumda, bu etkilerin ayrı ayrı değil, güvenlik fonksiyonları üzerindeki birleşik sonucu açısından değerlendirilmesi gerekebilir.

Belirsizlikler dış tehlike değerlendirmesinde de vardır

Hiçbir saha değerlendirmesinde dış tehlikelerin şiddeti, oluşma sıklığı veya tesis üzerindeki fiziksel etkileri tamamen kesin bir şekilde bilinmeyebilir.

Sismik, meteorolojik, hidrolojik ve jeolojik değerlendirmelerde veri eksiklikleri, model belirsizlikleri ve doğal değişkenlik bulunabilir. Bu nedenle güvenlik değerlendirmesinde belirsizliklerin tanımlanması ve uygun şekilde ele alınması önemlidir.

Daha önce ele alınan muhafazakâr yaklaşım ve güvenlik marjları burada da önem kazanır. Ancak muhafazakârlık, fiziksel olarak anlamsız bir tehlike senaryosu oluşturmak anlamına gelmez. Amaç, belirsizlikler karşısında güvenliği gereğinden fazla iyimser göstermemektir.

Dış tehlikeler PSA açısından da önemlidir

Dış tehlikeler deterministik güvenlik analizinin yanı sıra olasılıksal güvenlik değerlendirmesinde de önemli olabilir. Bir dış olayın meydana gelme sıklığı, olay sonrasında oluşturabileceği arıza kombinasyonları ve güvenlik fonksiyonlarının kaybına katkısı PSA kapsamında değerlendirilebilir.

Böylece aynı dış tehlike iki farklı bakış açısından incelenebilir:

Dış tehlike değerlendirmesinde temel zincir

Bütün bu değerlendirmeler bir araya getirildiğinde dış tehlikelerin güvenlik analizindeki temel zinciri şu şekilde özetlenebilir:

Dış tehlike değerlendirmesinin temel soruları

Bir dış tehlikenin güvenlik açısından değerlendirilmesinde genel olarak şu sorular sorulabilir:

• Sahanın hangi doğal ve insan kaynaklı dış tehlikeleri vardır?
• Bu tehlikelerin olası şiddeti ve oluşma sıklığı nedir?
• Tehlike tesiste hangi fiziksel etkilere dönüşebilir?
• Hangi yapı, sistem ve bileşenler bu etkilerden etkilenebilir?
• Etkilenen ekipmanlar hangi güvenlik fonksiyonlarını gerçekleştiriyor?
• Bu güvenlik fonksiyonlarının destek sistemleri de aynı dış olaydan etkilenebilir mi?
• Aynı dış tehlike birden fazla savunma katmanını aynı anda etkileyebilir mi?
• İkincil veya tetiklenen başka tehlikeler ortaya çıkabilir mi?
• Farklı dış tehlikeler aynı olay dizisi içerisinde birlikte değerlendirilmeli mi?
• Belirsizlikler güvenlik değerlendirmesine nasıl yansıtılmalıdır?
• Dış tehlikenin oluşturduğu olay dizileri PSA açısından güvenlik riskine ne ölçüde katkıda bulunabilir?

Sonuç: Tehlikeyi güvenlik fonksiyonuna bağlamak

Dış tehlikelerin değerlendirilmesi, saha değerlendirmesi ile tesis güvenlik analizini birbirine bağlayan temel süreçlerden biridir. Deprem, sel, tsunami, aşırı meteorolojik olaylar veya insan kaynaklı dış olaylar yalnızca çevresel olaylar olarak değerlendirilmez; tesis üzerindeki fiziksel etkileri ve güvenlik fonksiyonlarına olası etkileri üzerinden incelenir.

Böyle bir yaklaşım, güvenlik değerlendirmesini tek tek ekipmanların dayanımından çıkararak bütün tesisin davranışına taşır. Yapılar, sistemler, bileşenler, enerji beslemeleri, destek sistemleri, ölçüm ve kontrol fonksiyonları ve fiziksel bariyerler aynı güvenlik zinciri içerisinde değerlendirilir.

Sonuç olarak dış tehlike değerlendirmesinin temel amacı, tehlikeyi tanımlamak değil, tehlikenin güvenlik açısından ne anlama geldiğini ortaya koymaktır.

Böylece saha, tesis ve güvenlik değerlendirmesi arasında sürekli bir bağlantı kurulmuş olur. Bir sonraki aşamada bu yaklaşımın önemli bir örneği olan deprem tehlikesinin güvenlik analizine nasıl aktarıldığı daha ayrıntılı biçimde ele alınabilir.

Bir nükleer kazanın radyolojik açıdan değerlendirilmesinde yalnızca "tesiste ne kadar radyoaktif madde bulunuyor?" sorusu sorulmaz. Radyoaktif maddelerin nerede bulunduğu, hangi fiziksel ve kimyasal özelliklere sahip olduğu, hangi bariyerler tarafından tutulduğu, bu bariyerlerin olaydan nasıl etkilenebileceği ve olası bir salımın hangi yollarla çevreye ulaşabileceği birlikte değerlendirilir.

Bu nedenle radyolojik değerlendirme, kazanın fiziksel gelişimi ile radyoaktif maddelerin hareketi arasında bağlantı kurar. Önceki bölümlerde ele alınan kaza dizisi, güvenlik fonksiyonları, fiziksel bariyerler ve tasarım ötesi koşullar burada radyolojik sonuçların değerlendirilmesine bağlanır.

Radyoaktif envanter ile salım aynı şey değildir

Bir nükleer tesiste belirli miktarda radyoaktif madde bulunabilir. Bu toplam miktar radyoaktif envanter olarak düşünülebilir. Ancak envanterin tamamının bir kaza sırasında serbest kalması veya çevreye ulaşması beklenmez.

Bir kaza sırasında radyoaktif maddelerin yalnızca belirli bir bölümü serbest hale gelebilir. Bunun ne kadar olacağı; yakıtın veya radyoaktif maddelerin bulunduğu ortam, kazanın türü, sıcaklık ve basınç gibi fiziksel koşullar, maddenin fiziksel ve kimyasal özellikleri ve meydana gelen hasarın niteliği gibi faktörlere bağlı olabilir.

Bu nedenle güvenlik değerlendirmesinde envanter ile potansiyel salım miktarı birbirinden ayrılmalıdır.

Kaynak terimi nedir?

Güvenlik analizlerinde kaynak terimi (source term), bir kaza veya olay sonucunda çevreye ulaşabilecek radyoaktif maddelerin niteliğini ve miktarını tanımlamak için kullanılan önemli kavramlardan biridir.

Kaynak terimi yalnızca "kaç kilogram veya kaç birim radyoaktif madde çıktı?" sorusundan ibaret değildir. Radyoaktif maddelerin hangi türde olduğu, hangi fiziksel veya kimyasal biçimde bulunduğu, ne kadarının salındığı, salımın ne kadar sürdüğü ve hangi yoldan taşındığı gibi özellikler de radyolojik sonuçların değerlendirilmesinde önem taşıyabilir.

Bu nedenle kaynak terimi, kazanın fiziksel analizinden çevresel ve radyolojik sonuç analizine geçişte önemli bir bağlantı noktası oluşturur.

Bir bariyerin hasar görmesi ne anlama gelir?

Radyoaktif maddelerin kontrol altında tutulmasında birden fazla fiziksel bariyer ve güvenlik özelliği rol oynayabilir. Bu nedenle bir bariyerin hasar görmesi, tek başına çevreye büyük miktarda radyoaktif madde salındığı anlamına gelmez.

Hasar gören bariyerin hangi konumda bulunduğu, diğer bariyerlerin durumu, radyoaktif maddenin fiziksel özellikleri ve olayın gelişimi birlikte değerlendirilmelidir.

Örneğin bir iç bariyerin bütünlüğünün bozulması durumunda radyoaktif madde başka bir fiziksel bariyer tarafından tutulmaya devam edebilir. Bazı durumlarda filtreleme, izolasyon veya kontrollü akış gibi başka güvenlik özellikleri de salımın sınırlandırılmasına katkıda bulunabilir.

Dolayısıyla radyolojik değerlendirmede "bir bariyer başarısız oldu" ifadesinden doğrudan "çevreye salım gerçekleşti" sonucuna geçilmez.

Salım yolu neden önemlidir?

Radyoaktif bir maddenin serbest hale gelmesi ile insanların veya çevrenin bu maddeden etkilenmesi arasında başka fiziksel süreçler de bulunur.

Radyoaktif madde tesis içerisinde farklı bölümlere taşınabilir, belirli bir hacimde tutulabilir, bazı mekanizmalardan geçerken tutulabilir veya farklı bir taşıma ortamına geçebilir. Bu nedenle olası salımın hangi yoldan ilerlediği radyolojik değerlendirmede önemlidir.

Salım yolu; fiziksel bariyerler, havalandırma ve izolasyon düzenlemeleri, filtreleme özellikleri ve diğer tasarım özellikleri tarafından etkilenebilir.

Radyoaktif maddelerin fiziksel ve kimyasal özellikleri

Aynı miktardaki iki farklı radyoaktif maddenin çevresel ve radyolojik açıdan aynı sonucu oluşturması beklenmez. Bunun nedeni farklı radyoaktif maddelerin farklı fiziksel ve kimyasal özelliklere sahip olmasıdır.

Radyoaktif maddenin fiziksel hali, kimyasal davranışı, sıcaklıkla ilişkisi, çevredeki diğer maddelerle etkileşimi ve radyoaktif bozunma özellikleri gibi faktörler olası salımın ve taşınımın değerlendirilmesinde rol oynayabilir.

Bu nedenle kaynak terimi değerlendirilirken yalnızca miktar değil, salınan maddenin niteliği de dikkate alınır.

Salımın miktarı kadar zamanı da önemlidir

Radyolojik değerlendirmede yalnızca toplam salım miktarı değil, salımın zamana nasıl yayıldığı da önem taşıyabilir.

Aynı toplam miktarın kısa bir zaman içerisinde veya daha uzun bir süreye yayılarak salınması, çevresel taşınım ve maruziyet açısından farklı sonuçlar oluşturabilir.

Bu nedenle kaynak terimi gerektiğinde yalnızca bir toplam miktar olarak değil, zaman içerisindeki salım davranışı ile birlikte değerlendirilir.

Çevreye ulaşmak ile maruziyet aynı şey değildir

Radyoaktif bir maddenin tesis dışına çıkabilmesi ile insanların bu maddeden belirli bir doz alması arasında başka süreçler bulunur.

Radyoaktif maddeler çevrede taşınabilir, seyrelme veya başka fiziksel süreçlere maruz kalabilir ve farklı maruziyet yolları oluşturabilir. Bu nedenle radyolojik değerlendirme, olası salımdan sonra çevresel taşınımı ve maruziyet koşullarını da ele alır.

Başka bir ifadeyle, salım miktarı ile alınan doz aynı fiziksel büyüklük değildir. Doz değerlendirmesi; salımın niteliği, taşınım koşulları, maruziyet yolu, maruziyet süresi ve diğer ilgili faktörler dikkate alınarak yapılır.

Maruziyet yolları

Radyoaktif maddelerin insanlara ulaşması farklı maruziyet yolları üzerinden gerçekleşebilir. Değerlendirmede hangi yolların olay için anlamlı olduğu belirlenir.

Radyolojik değerlendirme kademeli ilerler

Bir kaza için radyolojik değerlendirme tek bir hesaplamadan oluşmaz. Önce kazanın fiziksel gelişimi anlaşılır. Daha sonra radyoaktif maddelerin davranışı, bariyerlerin durumu ve olası salım belirlenir.

Bunun ardından çevresel taşınım ve maruziyet koşulları değerlendirilerek radyolojik sonuçlara ulaşılır.

Kaynak terimi hangi sorularla belirlenir?

Bir radyolojik güvenlik değerlendirmesinde kaynak teriminin belirlenmesine yönelik olarak genel olarak şu sorular sorulabilir:

• Tesiste hangi radyoaktif envanter bulunmaktadır?
• Kaza sırasında bu envanterin hangi bölümü etkilenebilir?
• Hangi radyoaktif maddeler serbest hale gelebilir?
• Serbest kalma mekanizması nedir?
• Hangi fiziksel bariyerler etkilenebilir?
• Diğer bariyerler veya tutma mekanizmaları ne ölçüde salımı sınırlandırabilir?
• Radyoaktif maddeler hangi yollar üzerinden taşınabilir?
• Olası salımın miktarı ve zaman içerisindeki davranışı nedir?
• Salınan maddelerin fiziksel ve kimyasal özellikleri nelerdir?
• Çevresel taşınım hangi koşullarda gerçekleşebilir?
• İnsanlar ve çevre hangi maruziyet yollarından etkilenebilir?

Kaynak terimi güvenlik tasarımıyla nasıl ilişkilidir?

Kaynak terimi yalnızca kaza olduktan sonra yapılan radyolojik bir hesap değildir. Güvenlik tasarımında radyoaktif maddelerin kontrol altında tutulmasını sağlayan bariyerlerin ve güvenlik özelliklerinin oluşturulması, olası kaynak teriminin azaltılmasına katkıda bulunur.

Bu nedenle fiziksel bariyerler, muhafaza özellikleri, izolasyon, filtreleme, soğutma ve diğer güvenlik fonksiyonları ile radyolojik sonuçlar arasında doğrudan bir bağlantı bulunur.

Tasarımın amacı yalnızca kazayı önlemek değil, kaza meydana geldiğinde radyoaktif maddelerin serbest kalmasını ve çevreye ulaşmasını mümkün olduğunca sınırlandırmaktır.

Kaynak terimi ile saha değerlendirmesi birleşir

Olası bir radyoaktif salımın güvenlik açısından anlamı, tesis dışındaki koşullardan da etkilenebilir. Bu nedenle kaynak teriminin belirlenmesinden sonra çevresel taşınım ve maruziyet değerlendirmelerinde saha özellikleri dikkate alınabilir.

Meteorolojik koşullar, atmosferik taşınım özellikleri, çevresel koşullar ve bölgenin nüfus özellikleri gibi faktörler, radyolojik sonuçların değerlendirilmesinde önemli olabilir.

Böylece önceki bölümlerde ayrı ayrı ele alınan saha değerlendirmesi, dış tehlikeler, fiziksel bariyerler ve güvenlik analizi radyolojik sonuç değerlendirmesinde tek bir zincir içerisinde birleşir.

Sonuç: Radyoaktif salım tek bir sayı değildir

Radyolojik güvenlik değerlendirmesinde "ne kadar radyoaktif madde var?" sorusu yalnızca başlangıç noktasıdır. Asıl değerlendirme; bu envanterin hangi bölümünün etkilenebileceği, ne kadarının serbest kalabileceği, hangi bariyerlerin salımı sınırlayabileceği, radyoaktif maddelerin hangi yollarla taşınabileceği ve insanların veya çevrenin hangi koşullarda maruz kalabileceği sorularını kapsar.

Bu nedenle radyoaktif envanter, kaynak terimi, çevresel salım ve radyolojik doz birbirinden ayrılması gereken kavramlardır. Birinin belirlenmesi diğerinin otomatik olarak aynı değerde olduğu anlamına gelmez.

Güvenlik yaklaşımının temel amacı ise radyoaktif maddelerin kontrolünü mümkün olduğunca sürdürmek, bariyerlerin bütünlüğünü korumak, olası salımı sınırlandırmak ve gerektiğinde insanların ve çevrenin maruziyetini azaltmaktır.

Böylece radyolojik güvenlik değerlendirmesi, kaza analizinin fiziksel sonuçlarından başlayarak radyoaktif maddelerin davranışına ve nihayet insan ve çevre üzerindeki olası etkilere kadar uzanan çok aşamalı bir değerlendirme haline gelir.

Bir nükleer tesisin güvenlik değerlendirmesinde yalnızca tesisin kendi yapıları, sistemleri ve ekipmanları incelenmez. Tesisin bulunduğu saha ile çevrede yaşayan toplum arasındaki ilişki de güvenlik açısından değerlendirilir.

Bunun temel nedeni, ciddi bir kaza durumunda tesisin içerisinde oluşabilecek radyolojik koşulların tesis sınırlarının dışına taşabilme ihtimalinin bulunmasıdır. Bu nedenle saha seçiminde ve güvenlik değerlendirmesinde tesis ile toplum arasındaki fiziksel ve çevresel ilişki dikkate alınır.

Ancak burada güvenliği yalnızca "tesis nüfustan ne kadar uzakta?" sorusuna indirgemek doğru değildir. Mesafe, güvenlik değerlendirmesinin yalnızca unsurlarından biridir. Tesisin tasarımı, radyoaktif envanteri, fiziksel bariyerleri, güvenlik sistemleri, olası salım senaryoları, meteorolojik koşullar, coğrafi özellikler ve çevredeki nüfusun dağılımı birlikte değerlendirilir.

Mesafe neden önemlidir?

Bir radyoaktif maddenin tesis dışına çıkması halinde, tesis ile insanların bulunduğu bölgeler arasındaki mesafe, radyolojik sonuçların değerlendirilmesinde dikkate alınan fiziksel faktörlerden biri olabilir.

Radyoaktif maddelerin çevrede taşınması sırasında atmosferik seyrelme, birikme ve diğer çevresel süreçler meydana gelebilir. Bu nedenle tesis ile belirli bir yerleşim bölgesi arasındaki mesafe, olası maruziyet koşullarının değerlendirilmesinde önemli bir parametre olabilir.

Ancak mesafenin artması tek başına radyolojik güvenliği garanti etmez. Salımın miktarı ve niteliği, atmosferik koşullar, rüzgâr yönü, arazi özellikleri ve maruziyet yolları da sonucu etkileyebilir.

Mesafe ile "izolasyon" aynı şey değildir

Saha değerlendirmesinde tesis ile toplum arasındaki uzaklığın değerlendirilmesi, geçmiş ve güncel güvenlik yaklaşımlarında önemli bir unsurdur. Ancak fiziksel mesafe tek başına bir "izolasyon duvarı" gibi düşünülmemelidir.

Gerçek anlamda güvenlik, tesis içerisindeki radyoaktif maddelerin kontrol altında tutulmasından başlayarak fiziksel bariyerlerin korunmasına, olası salımın sınırlandırılmasına ve tesis dışındaki insanların maruziyetinin azaltılmasına kadar uzanan çok katmanlı bir yaklaşım gerektirir.

Dolayısıyla tesis ile toplum arasındaki mesafe, diğer güvenlik önlemlerinin yerine geçen bir savunma katmanı değil, güvenlik değerlendirmesinin unsurlarından biri olarak görülmelidir.

Radyoaktif salım ile toplum arasındaki bağlantı

Önceki bölümde ele alınan kaynak terimi burada önem kazanmaktadır. Bir kaza sonucunda oluşabilecek radyolojik sonuçların değerlendirilmesinde önce potansiyel kaynak terimi belirlenir.

Daha sonra bu kaynağın çevreye hangi yollardan ulaşabileceği, çevrede nasıl taşınabileceği ve insanların hangi yollarla maruz kalabileceği değerlendirilir.

Böylece tesis ile toplum arasındaki ilişki doğrudan kaynak terimi ve çevresel taşınım üzerinden incelenebilir.

Nüfusun yalnızca toplam sayısı önemli değildir

Saha değerlendirmesinde çevrede kaç kişinin yaşadığı önemli olmakla birlikte, yalnızca toplam nüfus sayısına bakmak yeterli olmayabilir.

Nüfusun coğrafi dağılımı, yerleşimlerin konumu ve çevredeki insan faaliyetlerinin özellikleri, olası radyolojik sonuçların değerlendirilmesinde önem taşıyabilir.

Bunun nedeni, aynı toplam nüfusa sahip iki farklı bölgenin tesis çevresindeki dağılımının ve dolayısıyla olası maruziyet koşullarının birbirinden farklı olabilmesidir.

Bu nedenle saha değerlendirmesinde nüfus, yalnızca "kaç kişi var?" şeklinde değil, "insanlar nerede bulunuyor ve olası bir radyolojik olaydan nasıl etkilenebilirler?" soruları üzerinden de ele alınır.

Meteoroloji mesafe kadar önemlidir

Radyoaktif maddelerin atmosfere salınması halinde çevresel taşınım meteorolojik koşullardan etkilenebilir. Bu nedenle tesis ile toplum arasındaki fiziksel uzaklığın yanında atmosferik koşullar da değerlendirilir.

Özellikle rüzgâr yönü ve hızı ile atmosferik kararlılık gibi koşullar, havaya karışan maddelerin nasıl taşınacağını etkileyebilir.

Bu nedenle aynı mesafedeki iki farklı yerleşim bölgesi, farklı meteorolojik ve coğrafi koşullar nedeniyle aynı radyolojik değerlendirme sonucunu vermeyebilir.

Mesafe arttıkça risk otomatik olarak sıfırlanmaz

Tesis ile toplum arasındaki uzaklığın artması, olası radyolojik maruziyetin değerlendirilmesinde olumlu bir fiziksel faktör olabilir. Ancak bunu "belirli bir mesafeden sonra hiçbir radyolojik etki mümkün değildir" şeklinde yorumlamak doğru değildir.

Olası sonuç; kaynak teriminin özellikleri, salımın gerçekleşme koşulları, atmosferik taşınım, çevresel süreçler, maruziyet yolları ve insanların bulunduğu bölgelerin özellikleri gibi birçok faktörün birlikte değerlendirilmesiyle belirlenir.

Bu nedenle saha değerlendirmesinde mesafe, tek başına belirleyici bir sayı değil, radyolojik sonuç analizinin girdilerinden biri olarak ele alınmalıdır.

Acil durum müdahalesi ile mesafe arasındaki ilişki

Saha ile toplum arasındaki ilişki yalnızca radyolojik taşınım açısından değerlendirilmez. Ciddi bir olay durumunda insanların korunmasına yönelik acil durum müdahalesinin uygulanabilirliği de önemlidir.

Bölgenin ulaşım yapısı, iletişim olanakları, nüfus dağılımı, meteorolojik koşullar ve ilgili kurumların müdahale kapasitesi gibi faktörler, acil durum hazırlığının uygulanabilirliğini etkileyebilir.

Böylece saha değerlendirmesi, radyolojik sonuçların hesaplanması ile acil durum hazırlığı arasında da bir bağlantı kurar.

Saha uygunluğu birden fazla faktörün birlikte değerlendirilmesidir

Bir sahanın güvenlik açısından değerlendirilmesi, yalnızca tesis ile en yakın yerleşim arasındaki mesafeyi belirlemekten çok daha kapsamlıdır.

Sismik ve jeolojik koşullar, meteoroloji, hidroloji, doğal ve insan kaynaklı dış tehlikeler, radyoaktif salımın olası sonuçları, nüfus özellikleri ve acil durum müdahalesinin uygulanabilirliği birlikte değerlendirilir.

Saha ile toplum arasındaki ilişkinin temel soruları

Saha değerlendirmesinde tesis ile toplum arasındaki ilişki incelenirken genel olarak şu sorular sorulabilir:

• Tesis çevresindeki nüfusun dağılımı nasıldır?
• Olası bir radyolojik salım hangi bölgelere ulaşabilir?
• Meteorolojik koşullar olası taşınımı nasıl etkileyebilir?
• Sahanın coğrafi özellikleri çevresel taşınımı nasıl etkileyebilir?
• Tesisin radyoaktif envanteri ve olası kaynak terimi radyolojik değerlendirmeyi nasıl etkiler?
• Fiziksel bariyerler ve diğer güvenlik özellikleri olası salımı ne ölçüde sınırlandırabilir?
• Tesis ile nüfus arasındaki mesafe radyolojik sonuç değerlendirmesine nasıl yansır?
• Olası radyolojik sonuçlar ile acil durum hazırlığı arasında nasıl bir ilişki vardır?
• Ulaşım, iletişim ve diğer çevresel koşullar acil durum müdahalesini etkileyebilir mi?
• Yeni bilgi veya değişen nüfus ve çevre koşulları saha değerlendirmesinin yeniden yapılmasını gerektirebilir mi?

Sonuç: Saha ile toplum arasındaki ilişki bütünsel değerlendirilir

Nükleer tesisin bulunduğu saha ile toplum arasındaki mesafenin değerlendirilmesinin temel amacı, olası radyolojik olayların tesis dışındaki sonuçlarını anlamaya yardımcı olmaktır.

Ancak bu değerlendirme yalnızca fiziksel uzaklıktan oluşmaz. Radyoaktif envanter, kaynak terimi, fiziksel bariyerler, olası salım, atmosferik ve çevresel taşınım, nüfus dağılımı, coğrafi koşullar ve acil durum müdahalesinin uygulanabilirliği birlikte değerlendirilir.

Böylece güvenlik değerlendirmesi tesis sınırlarından çıkarak, tesis ile çevresindeki toplum arasındaki fiziksel ve radyolojik ilişkiyi de kapsar.

Sonuç olarak güvenli bir saha değerlendirmesi, "tesis insanlardan ne kadar uzakta?" sorusuyla başlayabilir; ancak bununla sona ermez. Asıl soru, tesis ile çevresi arasındaki bütün fiziksel, çevresel ve radyolojik etkileşimlerin güvenlik açısından yeterli biçimde değerlendirilip değerlendirilmediğidir.

Nükleer güvenlik değerlendirmesinde yalnızca normal işletme koşulları veya tesisin tasarımında öngörülen olağan dışı durumlar incelenmez. Güvenlik yaklaşımının önemli bir parçası da daha ağır sonuçlara yol açabilecek kaza koşullarının değerlendirilmesidir.

Bununla birlikte güvenlik analizlerinde kullanılan farklı kaza kategorilerinin aynı şeyi ifade etmediğinin bilinmesi gerekir. Bir senaryo, tasarımın belirli bir güvenlik fonksiyonunu sınamak amacıyla seçilebilirken, başka bir senaryo fiziksel bariyerlerin, kaza yönetimi önlemlerinin veya tesis dışındaki radyolojik sonuçların değerlendirilmesi amacıyla kullanılabilir.

Bu nedenle "ağır kaza", "tasarım esaslı kaza", "tasarım ötesi koşul" ve "muhafazakâr kaza senaryosu" gibi ifadeler kullanılmadan önce, senaryonun hangi güvenlik sorusunu cevaplamak için oluşturulduğu belirlenmelidir.

Her ağır kaza aynı anlama gelmez

"Ağır kaza" ifadesi genel olarak tesisin normal işletme sınırlarının ötesine geçen ve güvenlik fonksiyonları üzerinde daha ciddi baskı oluşturabilecek kaza koşullarını ifade etmek için kullanılabilir. Ancak bu ifade tek başına belirli bir olay dizisini veya tek bir fiziksel sonucu tanımlamaz.

Bir ağır kaza senaryosunda yakıtın önemli ölçüde zarar görmesi, uzun süreli ısı uzaklaştırma sorunları, birden fazla güvenlik fonksiyonunun aynı anda zorlanması veya radyoaktif maddelerin tutulmasını sağlayan bariyerlerin daha ağır koşullara maruz kalması gibi durumlar değerlendirme kapsamına girebilir.

Buradaki temel amaç, yalnızca "en kötü kazayı bulmak" değildir. Amaç, savunma derinliğinin daha ileri seviyelerinde hangi güvenlik önlemlerinin devreye gireceğini ve sonuçların nasıl sınırlandırılabileceğini anlamaktır.

Tasarım esaslı kaza ile ağır kaza arasındaki fark

Tasarım esaslı kazalar, tesisin güvenlik tasarımının belirli kaza koşullarında yeterli olduğunu göstermek amacıyla tanımlanan ve analiz edilen senaryolardır. Bu analizlerde güvenlik sistemlerinin gerekli güvenlik fonksiyonlarını yerine getirip getiremediği ve kabul kriterlerinin sağlanıp sağlanmadığı değerlendirilir.

Daha ağır koşullarda ise tasarım esaslarının ötesine geçen durumların nasıl yönetilebileceği ve kazanın sonuçlarının nasıl sınırlandırılabileceği incelenebilir.

Dolayısıyla bu iki yaklaşım birbirinin alternatifi değildir. Tasarım esaslı analizler temel güvenlik tasarımının yeterliliğini gösterirken, daha ağır koşulların değerlendirilmesi savunma derinliğinin ileri seviyelerini ve ilave önlemleri sınar.

Tasarım ötesi koşul ne demektir?

Tasarım ötesi koşul, tesisin belirli tasarım varsayımlarının ötesine geçen ancak güvenlik değerlendirmesinin dışında bırakılmayan bir durum olarak düşünülebilir.

Örneğin bir olay sırasında başlangıçta varsayılan bazı güvenlik fonksiyonlarının kullanılamaz hale gelmesi, birden fazla sistemin aynı olaydan etkilenmesi veya uzun süreli bir soğutma probleminin ortaya çıkması, tasarım ötesi koşulların değerlendirilmesini gerektirebilir.

Buradaki "ötesi" ifadesi, tesisin artık hiçbir güvenlik önlemine sahip olmadığı anlamına gelmez. Aksine amaç, tasarımın öngördüğü temel savunma katmanları yeterli olmadığında hangi ilave güvenlik özelliklerinin devreye girebileceğini değerlendirmektir.

Ağır kaza analizinde hangi güvenlik fonksiyonları önemlidir?

Ağır kaza değerlendirmesinde de temel yaklaşım ekipman listesinden değil, güvenlik fonksiyonlarından hareket eder. Kazanın fiziksel gelişimi sonucunda hangi fonksiyonların korunması gerektiği belirlenir.

• Reaktivitenin kontrol edilmesi ve gerekli durumda reaktörün güvenli şekilde durdurulması,
• Artık ısının uzaklaştırılması ve yakıtın soğutulmasının mümkün olduğunca sürdürülmesi,
• Radyoaktif maddelerin fiziksel bariyerler ve diğer tutma mekanizmaları içerisinde sınırlandırılması,
• Gerekli ölçüm, izleme ve kontrol fonksiyonlarının sürdürülebilmesi,
• Güvenlik açısından gerekli destek ve enerji sistemlerinin kullanılabilirliğinin korunması,
• Olası radyoaktif salımın ve radyolojik sonuçların sınırlandırılması.

Bu fonksiyonlardan birinin veya birkaçının kaybedilmesi, olayın diğer savunma katmanları üzerindeki etkisinin değerlendirilmesini gerektirebilir.

Birden fazla güvenlik fonksiyonu aynı anda zorlanabilir

Daha ağır kaza koşullarının önemli özelliklerinden biri, olayın yalnızca tek bir sistemi etkilemekle kalmayıp birden fazla güvenlik fonksiyonunu aynı anda zorlayabilmesidir.

Örneğin bir dış tehlike veya enerji kaybı, yalnızca bir ekipmanı devre dışı bırakmakla kalmayabilir; elektrik beslemesi, kontrol sistemleri, ölçüm sistemleri ve yardımcı sistemler üzerinde eş zamanlı etkiler oluşturabilir.

Bu nedenle ağır kaza analizinde tek tek ekipmanların çalışıp çalışmadığından çok, gerekli güvenlik fonksiyonlarının bütün olarak korunup korunamadığı sorusu önem kazanır.

Muhafazakâr kaza senaryosu ne demektir?

Güvenlik değerlendirmelerinde bazı senaryolar veya hesaplama varsayımları, güvenlik açısından daha zorlayıcı sonuçlar elde edecek şekilde seçilebilir. Bu yaklaşım muhafazakâr yaklaşım olarak ifade edilir.

Ancak muhafazakâr yaklaşım, fiziksel olarak imkânsız bir olayın varsayılması anlamına gelmez. Amaç, analiz sonucunu yapay biçimde kötüleştirmek değil; belirsizlikleri ve olumsuz koşulları güvenlik açısından yeterli pay bırakacak şekilde ele almaktır.

Başka bir ifadeyle muhafazakâr senaryo, fiziksel olarak mümkün, teknik açıdan savunulabilir ve güvenlik açısından zorlayıcı koşulları temsil etmelidir.

En kötü durum ile en kötü makul durum aynı değildir

Güvenlik analizlerinde "en kötü durum" ifadesi dikkatli kullanılmalıdır. Bütün parametrelerin aynı anda fiziksel olarak mümkün olmayan en olumsuz değerlerinin seçilmesi, gerçekçi bir güvenlik analizi oluşturmaz.

Örneğin bir analizde farklı belirsizliklerin aynı fiziksel olayı tekrar tekrar kötüleştirecek şekilde üst üste bindirilmesi, sonucu gereksiz biçimde aşırı muhafazakâr hale getirebilir.

Bu nedenle amaç genellikle "en kötü makul durumun" belirlenmesidir. Bunun anlamı, güvenlik açısından zorlayıcı olmakla birlikte fiziksel ve teknik açıdan tutarlı bir olay koşulunun değerlendirilmesidir.

Ağır senaryolarda radyoaktif salım nasıl değerlendirilir?

Ağır kaza değerlendirmesinde radyolojik sonuçlar incelenirken, önce kazanın fiziksel gelişimi ve radyoaktif maddelerin davranışı belirlenir.

Daha sonra fiziksel bariyerlerin durumu, radyoaktif maddelerin ne kadarının serbest hale gelebileceği ve olası salım yolları değerlendirilir. Böylece önceki bölümlerde açıklanan kaynak terimi ile saha ve toplum arasındaki ilişkinin kurulması mümkün olur.

Bu senaryolar mutlaka gerçekleşecek anlamına gelmez

Güvenlik değerlendirmesinde bir kaza senaryosunun analiz edilmesi, o olayın mutlaka gerçekleşeceği anlamına gelmez.

Mühendislik analizlerinde bazı olaylar, tasarımın güvenlik açısından ne kadar dayanıklı olduğunu görmek amacıyla varsayımsal olarak oluşturulur. Böylece gerçekleşme olasılığı düşük olan veya çok ağır sonuçlara yol açabilecek olayların karşısında bile güvenlik özelliklerinin nasıl davranacağı incelenebilir.

Bu yaklaşımın temelinde "olay kesinlikle olmayacaktır" varsayımı yerine, "olay meydana gelirse tesis nasıl davranır?" sorusunu sormak vardır.

Olasılığı düşük olaylar neden önemlidir?

Bir olayın gerçekleşme olasılığının düşük olması, güvenlik değerlendirmesinde otomatik olarak önemsiz olduğu anlamına gelmez. Özellikle sonuçları ciddi olabilecek olaylar için tasarımın ve ilave güvenlik önlemlerinin davranışının anlaşılması önemlidir.

Bu nedenle güvenlik değerlendirmesinde hem deterministik hem de gerektiğinde olasılıksal yaklaşımlar kullanılarak farklı olayların güvenlik açısından anlamı incelenebilir.

Deterministik yaklaşım "bu olay meydana gelirse tesis fiziksel olarak nasıl davranır?" sorusuna odaklanırken, olasılıksal değerlendirme olay dizilerinin gerçekleşme olasılıklarını ve bunların toplam risk içindeki katkılarını anlamaya yardımcı olur.

Ağır kaza değerlendirmesi hangi sorulara cevap verir?

Bir ağır veya tasarım ötesi kaza senaryosu değerlendirilirken genel olarak şu sorular sorulabilir:

• Kaza hangi başlangıç olayı ile başlamaktadır?
• Kazanın ilerlemesi sırasında hangi fiziksel olaylar meydana gelebilir?
• Hangi güvenlik fonksiyonlarının korunması gerekmektedir?
• Birden fazla güvenlik fonksiyonu aynı anda zorlanabilir mi?
• Hangi güvenlik sistemleri ve destek sistemleri kullanılabilir?
• Mevcut güvenlik sistemlerinin dışında hangi ilave güvenlik özellikleri devreye girebilir?
• Yakıtın veya diğer radyoaktif maddelerin durumu nasıl gelişebilir?
• Fiziksel bariyerlerin bütünlüğü nasıl etkilenebilir?
• Radyoaktif maddelerin serbest kalma ve taşınma mekanizması nedir?
• Olası salım nasıl sınırlandırılabilir?
• Tesis dışındaki radyolojik sonuçlar nasıl değerlendirilebilir?
• Kullanılan varsayımlar ve modeller güvenlik açısından yeterli marj bırakıyor mu?

Sonuç: Ağır senaryolar güvenlik savunmasının sınırlarını gösterir

Ağır kaza ve muhafazakâr senaryo değerlendirmelerinin amacı geleceği kesin olarak tahmin etmek değildir. Amaç, tesisin daha zorlayıcı koşullar altında nasıl davranabileceğini anlamak ve güvenlik savunmasının hangi noktalarda güçlendirilmesi gerektiğini ortaya koymaktır.

Bu değerlendirmelerde tasarım esaslı kazalar ile daha ağır veya tasarım ötesi koşullar birbirinden ayrılır. Muhafazakâr varsayımlar kullanılırken ise fiziksel olarak mümkün olmayan yapay "en kötü durumlar" yerine, teknik olarak tutarlı ve güvenlik açısından zorlayıcı makul durumlar esas alınır.

Böylece güvenlik değerlendirmesi yalnızca "tasarım koşullarında sistemler çalışıyor mu?" sorusunu değil, daha ileri bir soruyu da ele alır: "Tasarımın öngördüğü savunma katmanları yeterli olmadığında, ilave güvenlik özellikleri ve bariyerler sonuçları ne ölçüde sınırlandırabilir?"

Sonuç olarak ağır kaza değerlendirmesi, "en kötü şeyi varsayıp korkutucu bir sonuç üretmek" değildir. Asıl amaç, savunma derinliğinin ileri seviyelerini sınamak, belirsizlikleri görmek, ilave güvenlik önlemlerinin değerini anlamak ve olası radyolojik sonuçları mümkün olduğunca sınırlandırabilecek tasarım ve kaza yönetimi özelliklerini değerlendirmektir.

Güvenlik değerlendirmesinin en önemli özelliklerinden biri, yalnızca reaktör çekirdeğine veya doğrudan güvenlik fonksiyonlarını gerçekleştiren ana sistemlere odaklanmamasıdır. Bir güvenlik fonksiyonunun gerçekten yerine getirilebilmesi için gerekli olan bütün sistemler, ekipmanlar, enerji kaynakları, ölçüm ve kontrol altyapısı ile destek hizmetleri birlikte değerlendirilmelidir.

Bunun nedeni oldukça basittir: Bir güvenlik sisteminin kendi başına güvenilir olması, ihtiyaç duyduğu elektrik enerjisi, soğutma, ölçüm, kontrol, yardımcı akışkanlar veya diğer destek hizmetleri kullanılamıyorsa güvenlik fonksiyonunu gerçekleştireceği anlamına gelmez.

Bu nedenle güvenlik değerlendirmesinde temel soru "Bu ekipman çalışıyor mu?" sorusundan daha kapsamlıdır. Asıl soru, "Gerekli güvenlik fonksiyonu, bu fonksiyon için gereken bütün bağımlılıklarıyla birlikte olay boyunca sürdürülebiliyor mu?" şeklindedir.

Güvenlik değerlendirmesi tesis sınırlarıyla sınırlı değildir

Reaktör güvenliği çoğu zaman çekirdeğin soğutulması, reaktörün durdurulması ve radyoaktif maddelerin sınırlandırılması gibi temel işlevlerle ilişkilendirilir. Ancak bu işlevlerin gerçekleştirilmesi, tesisin başka bölümlerindeki çok sayıda sistemin çalışmasına bağlı olabilir.

Örneğin bir soğutma sisteminin güvenlik açısından gerekli işlevi yerine getirebilmesi için yalnızca pompanın mevcut olması yeterli değildir. Pompanın elektrik enerjisine, gerekli yardımcı soğutmaya, uygun kontrol sinyallerine, ölçüm bilgilerine ve gerekli akışkan yollarının kullanılabilir durumda olmasına ihtiyaç duyulabilir.

Dolayısıyla güvenlik değerlendirmesi, fiziksel olarak birbirinden uzak görünen sistemler arasında bile işlevsel bağımlılık bulunup bulunmadığını araştırır.

Bir sistemin arkasında başka bir sistem olabilir

Güvenlik değerlendirmesinde önemli konulardan biri gizli veya dolaylı bağımlılıkların belirlenmesidir. Bir sistem doğrudan başka bir sisteme bağlı görünmese bile, her ikisi ortak bir destek sistemine ihtiyaç duyuyor olabilir.

Örneğin iki ayrı güvenlik ekipmanının farklı fiziksel konumlarda bulunması gerçek bir bağımsızlık göstergesi olmayabilir. Her ikisinin de aynı elektrik kaynağına, aynı kontrol altyapısına veya aynı yardımcı hizmete bağımlı olması durumunda ortak bir arıza her ikisini aynı anda etkileyebilir.

Bu nedenle güvenlik değerlendirmesi yalnızca "hangi ekipmanlar var?" sorusunu değil, "hangi ekipmanlar hangi sistemlere bağımlı?" sorusunu da araştırır.

Destek sistemleri neden güvenlik açısından önemli olabilir?

Bir sistem doğrudan reaktörü durdurmuyor veya çekirdeği soğutmuyor olabilir. Buna rağmen başka bir güvenlik sisteminin çalışması için zorunluysa, o sistemin güvenlik açısından önemi ortaya çıkabilir.

Bu nedenle bir ekipmanın güvenlik önemini yalnızca "güvenlik sistemi olarak adlandırılıyor mu?" sorusuyla belirlemek doğru değildir. Ekipmanın bir güvenlik fonksiyonunun gerçekleştirilmesine yaptığı katkı ve arızasının bu fonksiyon üzerindeki etkisi değerlendirilmelidir.

Özellikle yardımcı ve destek sistemlerinin kaybı, birden fazla güvenlik ekipmanını aynı anda etkileyebiliyorsa, bu sistemlerin güvenlik değerlendirmesindeki önemi daha da artar.

Enerji kaybı bütün tesisi etkileyebilir

Enerji kaybı, güvenlik değerlendirmelerinde önemli bir örnektir. Elektrik enerjisinin kaybedilmesi yalnızca elektrikle çalışan tek bir ekipmanın durması anlamına gelmeyebilir.

Aynı olay; pompaları, vanaları, ölçüm cihazlarını, kontrol sistemlerini, havalandırma ekipmanlarını ve diğer yardımcı sistemleri farklı şekillerde etkileyebilir.

Bu nedenle enerji kaybı gibi bir başlangıç olayı değerlendirilirken yalnızca "yedek enerji kaynağı mevcut mu?" sorusu yeterli değildir. Yedek kaynağın hangi sistemleri beslediği, gerekli kapasiteyi sağlayıp sağlayamadığı, gerekli destek sistemlerinin kullanılabilirliği ve güvenlik fonksiyonunun ihtiyaç duyduğu süre boyunca çalışıp çalışamayacağı da değerlendirilmelidir.

Güvenlik fonksiyonu ekipmandan daha büyüktür

Güvenlik değerlendirmesinde önemli bir düşünce değişikliği şudur: ekipmanın çalışması ile güvenlik fonksiyonunun gerçekleştirilmesi aynı şey değildir.

Örneğin bir pompanın dönüyor olması tek başına "soğutma güvenlik fonksiyonu başarıldı" anlamına gelmez. Pompanın gerekli debiyi sağlayabilmesi, akış yolunun kullanılabilir olması, gerekli enerji ve yardımcı hizmetlerin bulunması ve soğutmanın ihtiyaç duyulan süre boyunca devam etmesi gerekir.

Aynı şekilde bir ölçüm cihazının veri üretmesi de tek başına yeterli değildir. Ölçümün doğru olması, güvenlik açısından anlamlı parametreyi göstermesi ve bu bilginin gerekli zamanda karar ve kontrol süreçlerine ulaşabilmesi gerekir.

Ortak nedenli arızalar burada özellikle önem kazanır

Birden fazla güvenlik sisteminin aynı anda etkilenmesi, güvenlik değerlendirmesinin önemli konularından biridir. Çünkü sistemlerin ayrı ayrı güvenilir olması, onları aynı anda etkileyebilecek ortak bir neden bulunmadığı anlamına gelmez.

Ortak enerji kaynağı, ortak kontrol altyapısı, ortak çevresel koşullar, yangın, su baskını veya başka bir dış ya da iç tehlike, birden fazla sistem üzerinde eş zamanlı etki oluşturabilir.

Bu nedenle güvenlik değerlendirmesinde tek ekipman arızası kadar, birden fazla ekipmanı aynı anda etkileyebilecek ortak nedenlerin de incelenmesi gerekir.

Destek sistemleri olay koşullarında da değerlendirilir

Bir destek sisteminin normal işletme koşullarında güvenilir olması, kaza koşullarında da otomatik olarak aynı performansı göstereceği anlamına gelmez.

Kaza sırasında sıcaklık, basınç, nem, radyasyon, titreşim, elektrik beslemesi veya diğer çevresel koşullar değişebilir. Bu değişiklikler destek sistemlerinin performansını da etkileyebilir.

Bu nedenle destek sistemleri, yalnızca normal işletme koşullarında değil, ilgili güvenlik fonksiyonunun ihtiyaç duyduğu olay koşulları altında da değerlendirilmelidir.

Güvenlik değerlendirmesinde zaman faktörü

Bir güvenlik fonksiyonunun gerçekleştirilmesi için yalnızca gerekli sistemlerin mevcut olması yeterli değildir. Fonksiyonun doğru zamanda başlaması, yeterli kapasiteye ulaşması ve gerekli süre boyunca sürdürülebilmesi gerekir.

Örneğin bir destek sistemi olayın ilk dakikalarında çalışıyor ancak daha sonra gerekli performansı kaybediyorsa, güvenlik fonksiyonunun bütün olay boyunca korunup korunmadığı ayrıca değerlendirilmelidir.

Bütün tesis nasıl değerlendirilir?

Tesisin bütünsel olarak değerlendirilmesi, her ekipmanın aynı ayrıntıyla incelenmesi anlamına gelmez. Önce hangi güvenlik fonksiyonlarının gerekli olduğu belirlenir. Daha sonra bu fonksiyonları gerçekleştiren sistemler ve bu sistemlerin ihtiyaç duyduğu destek zinciri ortaya çıkarılır.

Böylece değerlendirme, güvenlik fonksiyonundan başlayarak ekipmanlara ve onların bağımlılıklarına doğru ilerler. Bir destek sisteminin kaybının hangi güvenlik fonksiyonlarını etkileyebileceği de bu zincir içerisinde görülebilir.

Güvenlik değerlendirmesinin temel soruları

Bir güvenlik fonksiyonunun bütün tesis açısından değerlendirilmesinde genel olarak şu sorular sorulabilir:

• Hangi güvenlik fonksiyonunun gerçekleştirilmesi gerekiyor?
• Bu fonksiyonu hangi sistemler ve ekipmanlar gerçekleştiriyor?
• Bu sistemlerin çalışması için hangi enerji kaynakları gerekiyor?
• Hangi ölçüm, kontrol ve sinyal altyapısına ihtiyaç duyuluyor?
• Hangi yardımcı ve destek sistemleri güvenlik fonksiyonuna katkı sağlıyor?
• Sistemler arasında ortak bir bağımlılık bulunuyor mu?
• Aynı olay birden fazla güvenlik sistemini etkileyebilir mi?
• Destek sistemleri ilgili kaza koşullarında çalışabilir mi?
• Güvenlik fonksiyonu gerekli zamanda devreye girebilir mi?
• Gerekli kapasiteyi ve gerekli süreyi sağlayabilir mi?
• Tek hata veya ortak nedenli bir arıza güvenlik fonksiyonunu ortadan kaldırabilir mi?

Sonuç: Güvenlik bütün tesisin özelliğidir

Nükleer güvenlik değerlendirmesi, yalnızca reaktör çekirdeğinin veya birkaç ana güvenlik sisteminin incelenmesinden oluşmaz. Bir güvenlik fonksiyonunun gerçekleştirilmesine katkıda bulunan ana sistemler, enerji kaynakları, ölçüm ve kontrol altyapısı, yardımcı sistemler ve destek sistemleri birlikte ele alınır.

Bu yaklaşım, güvenlik değerlendirmesini ekipman merkezli bir kontrolden çıkararak fonksiyon merkezli ve sistemler arası bağımlılıkları dikkate alan bütünsel bir değerlendirmeye dönüştürür.

Sonuçta önemli olan tek tek ekipmanların güvenilirliği değil, gerekli güvenlik fonksiyonlarının olay sırasında doğru zamanda, yeterli kapasiteyle ve gerekli süre boyunca gerçekleştirilebilmesidir.

Savunma derinliği yalnızca tasarım dokümanlarında yer alan teorik bir kavram değildir. Güvenlik değerlendirmesinin önemli amaçlarından biri, tesisin farklı savunma katmanlarının belirlenen olaylar karşısında gerçekten yeterli olup olmadığını sistematik olarak incelemektir.

Bunun için analiz, ilk güvenlik önleminin mutlaka başarılı olacağını varsayarak sona erdirilmez. Aksine, belirli bir savunma katmanının başarısız olması veya beklenen performansı gösterememesi durumunda bir sonraki savunma katmanının nasıl devreye gireceği ve güvenlik fonksiyonlarının korunup korunamayacağı değerlendirilir.

Savunma derinliği neden analiz edilmelidir?

Bir tesiste çok sayıda güvenlik sistemi bulunması, savunma derinliğinin otomatik olarak yeterli olduğu anlamına gelmez. Önemli olan bu sistemlerin hangi güvenlik fonksiyonlarını gerçekleştirdiği, birbirlerinden ne ölçüde bağımsız olduğu ve bir katmanın başarısız olması halinde diğer katmanların kullanılabilirliğini koruyup korumadığıdır.

Bu nedenle güvenlik değerlendirmesi, savunma katmanlarını yalnızca tek tek değil, aralarındaki ilişkiler üzerinden de inceler.

Analiz bir olay dizisi üzerinden ilerler

Savunma derinliğinin değerlendirilmesinde belirli bir başlangıç olayı seçilir ve tesisin bu olay karşısındaki davranışı zaman içerisinde incelenir.

Başlangıç olayından sonra hangi sistemlerin devreye girmesi gerektiği, hangi güvenlik fonksiyonlarının korunmasının zorunlu olduğu ve hangi koşullarda bir sonraki savunma katmanına ihtiyaç duyulacağı belirlenir.

İlk savunma katmanının başarısızlığı varsayılabilir

Savunma derinliğinin gerçek anlamı, ilk güvenlik önleminin hiçbir zaman başarısız olmayacağını varsaymak değildir. Güvenlik değerlendirmesinde belirli varsayımlar altında bir sistemin veya ekipmanın kullanılamaz olduğu kabul edilerek sonraki savunma katmanlarının yeterliliği incelenebilir.

Örneğin bir güvenlik fonksiyonunun gerçekleştirilmesinde kullanılan bir ekipmanın başarısız olduğu varsayılırsa, aynı fonksiyonun başka bir sistem veya ekipman tarafından gerçekleştirilip gerçekleştirilemeyeceği değerlendirilir.

Buradaki amaç "her şey aynı anda bozulursa ne olur?" şeklinde sınırsız bir varsayım yapmak değildir. Amaç, güvenlik açısından anlamlı ve teknik olarak gerekçelendirilebilir arıza varsayımları altında savunma katmanlarının yeterliliğini sınamaktır.

Bir savunma katmanının bağımsızlığı neden önemlidir?

Bir sonraki savunma katmanının var olması tek başına yeterli değildir. Eğer ilk katmanı devre dışı bırakan olay ikinci katmanı da aynı nedenle etkiliyorsa, savunma derinliği beklenenden daha zayıf olabilir.

Örneğin iki farklı güvenlik sisteminin aynı enerji kaynağına, aynı kontrol altyapısına veya aynı yardımcı sisteme bağımlı olması durumunda, ortak bir arıza bu sistemleri birlikte etkileyebilir.

Bu nedenle analizde yalnızca "ikinci bir sistem var mı?" sorusu sorulmaz. Aynı zamanda "ilk sistemin kaybına neden olan olay ikinci sistemi de etkileyebilir mi?" sorusu sorulur.

Yedeklilik tek başına yeterli değildir

Bir güvenlik fonksiyonunu gerçekleştiren birden fazla ekipmanın bulunması yedeklilik sağlar. Ancak yedeklilik, ortak nedenli arızalara karşı otomatik bir koruma sağlamaz.

İki ekipmanın aynı elektrik kaynağına, aynı kontrol sistemine veya aynı çevresel koşullara bağımlı olması, görünürdeki yedekliliğin gerçek güvenlik katkısını azaltabilir.

Bu nedenle savunma derinliği analizinde yedeklilik, çeşitlilik ve bağımsızlık birlikte değerlendirilir.

Savunma katmanları aynı soruya cevap vermez

Savunma derinliğinin farklı seviyeleri farklı güvenlik amaçlarına hizmet eder. Bu nedenle her katmanın başarısı aynı ölçütle değerlendirilmez.

İlk katmanlarda amaç olayların meydana gelmesini veya gelişmesini önlemek olabilir. Daha sonraki katmanlarda olayın kontrol edilmesi, ısının uzaklaştırılması, radyoaktif maddelerin tutulması veya ağır kaza sonuçlarının sınırlandırılması ön plana çıkabilir.

En dış savunma seviyelerinde ise tesis dışındaki insanların ve çevrenin korunmasına yönelik acil durum hazırlığı ve müdahale kapasitesi değerlendirmeye girer.

Destek sistemleri savunma derinliğinin bir parçasıdır

Bir savunma katmanının analiz edilmesi, yalnızca o katmana ait ana ekipmanların incelenmesi anlamına gelmez. Katmanın çalışabilmesi için gereken enerji, ölçüm, kontrol, soğutma ve diğer destek sistemleri de değerlendirilmelidir.

Özellikle aynı destek sisteminin birden fazla savunma katmanına hizmet etmesi durumunda, bu bağımlılığın güvenlik açısından sonuçları ayrıca incelenir.

Böylece savunma derinliği analizinde görünür sistemlerin yanı sıra arka plandaki destek zincirleri de değerlendirmeye dahil edilir.

Zaman boyutu da analiz edilir

Savunma derinliği yalnızca "hangi sistem çalışacak?" sorusundan ibaret değildir. Sistemin ne zaman devreye girmesi gerektiği ve güvenlik fonksiyonunu ne kadar süreyle sürdürebileceği de değerlendirilir.

Bazı olaylarda otomatik güvenlik fonksiyonlarının çok kısa sürede devreye girmesi gerekirken, başka aşamalarda operatör müdahalesi veya uzun süreli destek sistemleri önem kazanabilir.

Bu nedenle analiz, olayın yalnızca başlangıç anını değil, zaman içerisindeki gelişimini de dikkate alır.

Güvenlik marjları savunma derinliğini güçlendirir

Güvenlik analizlerinde kullanılan modeller, başlangıç koşulları ve ekipman performansları belirli belirsizlikler içerir. Bu nedenle savunma katmanlarının yeterliliği değerlendirilirken yalnızca nominal koşullar dikkate alınmaz.

Uygun güvenlik marjlarının korunması, hesaplama belirsizliklerinin ve değişken koşulların sonuç üzerinde oluşturabileceği etkilerin yönetilmesine yardımcı olur.

Böylece savunma derinliği yalnızca "sistem çalışıyor" seviyesinde değil, sistemin beklenmeyen değişiklikler ve belirsizlikler karşısında yeterli güvenlik payına sahip olup olmadığı açısından da değerlendirilir.

Analiz savunma derinliğindeki zayıflıkları ortaya çıkarabilir

Güvenlik değerlendirmesinin önemli değerlerinden biri, tasarımın yalnızca güçlü yönlerini doğrulamak değil, zayıf noktaları ortaya çıkarmaktır.

Analiz sonucunda belirli bir güvenlik fonksiyonunun tek bir destek sistemine aşırı bağımlı olduğu, iki savunma katmanının ortak bir arızadan etkilenebildiği veya belirli bir olayda güvenlik marjının beklenenden düşük olduğu görülebilir.

Böyle bir sonuç yalnızca bir "başarısızlık" olarak değerlendirilmez. Bulgular; tasarım değişiklikleri, ilave güvenlik önlemleri, işletme prosedürleri, bakım ve test programları veya başka iyileştirmeler için girdi oluşturabilir.

Savunma derinliği analizinin temel soruları

Bir tesisin savunma derinliği değerlendirilirken genel olarak şu sorular sorulabilir:

• Başlangıç olayına karşı ilk savunma katmanı hangi güvenlik fonksiyonunu gerçekleştiriyor?
• İlk savunma katmanının başarısız olması halinde hangi ikinci savunma katmanı devreye giriyor?
• Savunma katmanları birbirinden yeterince bağımsız mı?
• Aynı olay birden fazla savunma katmanını aynı anda etkileyebilir mi?
• Güvenlik fonksiyonları yeterli yedeklilik ve uygun çeşitlilikle destekleniyor mu?
• Ortak nedenli arızalar savunma derinliğini zayıflatabilir mi?
• Destek ve enerji sistemleri hangi savunma katmanlarına bağımlı?
• Gerekli güvenlik fonksiyonu doğru zamanda ve gerekli süre boyunca gerçekleştirilebiliyor mu?
• İnsan müdahalesi gerekiyorsa bunun için yeterli bilgi ve zaman mevcut mu?
• Hesaplama belirsizlikleri karşısında yeterli güvenlik marjı bulunuyor mu?
• Analiz sonucunda tasarım veya işletme açısından iyileştirilmesi gereken bir zayıflık ortaya çıkıyor mu?

Sonuç: Savunma derinliği analizle görünür hale gelir

Savunma derinliği, bir tesiste yalnızca kaç tane güvenlik sistemi bulunduğuyla ölçülemez. Asıl önemli olan, bir olay başladığında birbirini tamamlayan savunma katmanlarının güvenlik fonksiyonlarını koruyabilmesi ve bir katmanın başarısızlığının diğer katmanları da aynı anda ortadan kaldırmamasıdır.

Güvenlik değerlendirmesi bu yapıyı olay dizileri üzerinden sınar. Başlangıç olayı belirlenir, tesisin fiziksel davranışı analiz edilir, gerekli güvenlik fonksiyonları belirlenir ve her savunma katmanının performansı değerlendirilir.

Daha sonra yedeklilik, çeşitlilik, bağımsızlık, ortak nedenli arızalar, destek sistemleri, insan müdahalesi, zaman boyutu ve güvenlik marjları dikkate alınarak savunmanın bütünlüğü incelenir.

Böylece güvenlik değerlendirmesi, savunma derinliğini kâğıt üzerinde tanımlanmış bir prensip olmaktan çıkararak analiz edilebilir, sınanabilir ve gerektiğinde iyileştirilebilir bir mühendislik yaklaşımına dönüştürür.

Sonuçta güvenliğin temel mantığı tek bir kusursuz savunma katmanı oluşturmak değil, bir katmanın başarısız olması durumunda bile güvenliğin korunmasına devam edebilecek birbirini tamamlayan savunma katmanları oluşturmaktır.

Güvenlik değerlendirmesinde elde edilen sonuçlar tasarım, işletme ve güvenlik kararlarını etkileyebildiği için, yalnızca analiz sonucunun kendisi değil, bu sonuca nasıl ulaşıldığı da güvenilir olmalıdır.

Bir bilgisayar programının bir hesaplama üretmesi, hesaplamanın otomatik olarak doğru olduğu anlamına gelmez. Kullanılan fiziksel model, matematiksel model, program, giriş verileri, başlangıç koşulları, varsayımlar ve kabul kriterleri sonuç üzerinde doğrudan etkili olabilir.

Bu nedenle güvenlik analizinin önemli bir parçası, analizin ve kullanılan yöntemlerin doğrulanmasıdır. Amaç yalnızca bir hesaplama hatasını bulmak değil, analiz zincirinin güvenlik açısından güvenilir bir temele dayanıp dayanmadığını ortaya koymaktır.

Bir hesaplama sonucu neden tek başına yeterli değildir?

Güvenlik analizlerinde karmaşık fiziksel olaylar matematiksel modeller kullanılarak temsil edilir. Gerçek tesis ise bu modellerden çok daha karmaşık fiziksel bir sistemdir.

Bu nedenle analiz sonucunun güvenilirliği yalnızca kullanılan yazılımın teknik olarak çalışmasına bağlı değildir. Doğru fiziksel problemin doğru modelle temsil edilmesi ve modelin uygun koşullarda kullanılması gerekir.

Örneğin bir program hatasız biçimde çalışabilir ancak analizde yanlış bir başlangıç koşulu kullanılmışsa veya fiziksel olarak uygun olmayan bir model seçilmişse, program doğru bir hesaplama yaparken yanlış bir güvenlik sonucu üretebilir.

Doğrulama ile geçerleme aynı şey değildir

Güvenlik analizlerinde doğrulama ve geçerleme kavramları birbirine yakın görünse de farklı sorulara karşılık gelir.

Basit bir ifadeyle doğrulama, "Hesaplama yöntemi ve program doğru uygulanıyor mu?" sorusuna; geçerleme ise "Kullandığımız model gerçek fiziksel davranışı yeterli doğrulukla temsil ediyor mu?" sorusuna odaklanır.

Bu iki bakış açısı birlikte ele alındığında, yalnızca programın çalışıp çalışmadığı değil, programın doğru fiziksel problemi çözmek için uygun olup olmadığı da değerlendirilmiş olur.

Modelin seçimi de güvenlik kararının bir parçasıdır

Bir güvenlik analizinde aynı fiziksel olay farklı varsayımlar ve modelleme yaklaşımlarıyla farklı sonuçlar verebilir. Bu nedenle model seçimi yalnızca teknik bir ayrıntı olarak görülmemelidir.

Analist; hangi fiziksel olayların modele dahil edildiğini, hangi etkilerin ihmal edildiğini, hangi parametrelerin kullanıldığını ve modelin hangi koşullarda geçerli olduğunu ortaya koymalıdır.

Özellikle güvenlik açısından zorlayıcı olaylarda, sonuçları gereğinden fazla iyimser hale getirebilecek varsayımlardan kaçınılması ve belirsizliklerin uygun güvenlik marjlarıyla ele alınması önemlidir.

Başlangıç koşulları ve giriş verileri de kontrol edilmelidir

Güvenlik analizinin sonucu, yalnızca fiziksel model ve hesaplama programına değil, modele verilen giriş bilgilerinin doğruluğuna da bağlıdır.

Tesisin başlangıç işletme durumu, ekipman performansları, çevresel koşullar, malzeme özellikleri ve analizde kullanılan diğer parametreler sonuçları etkileyebilir.

Bu nedenle analiz sürecinde "Bu değer nereden geliyor?", "Bu değer hangi koşulları temsil ediyor?" ve "Bu değerdeki belirsizlik sonucu ne kadar etkiliyor?" soruları sorulmalıdır.

Sonuçların fiziksel açıdan makul olup olmadığı kontrol edilir

Hesaplama sonucu yalnızca sayısal olarak elde edilmiş olması nedeniyle kabul edilmemelidir. Sonuçların fiziksel davranışla uyumlu olup olmadığı da incelenmelidir.

Örneğin bir olay sırasında sıcaklık, basınç, akış, güç veya başka bir fiziksel büyüklüğün zaman içerisindeki değişimi beklenen fiziksel davranışla tutarlı olmalıdır. Beklenmeyen bir sonuç ortaya çıktığında bunun gerçekten fiziksel bir sonuç mu yoksa modelleme, veri veya hesaplama kaynaklı bir problem mi olduğu araştırılmalıdır.

Bu yaklaşım, mühendislik değerlendirmesi ile sayısal hesaplamanın birbirinin yerine geçmemesini sağlar.

Bağımsız inceleme neden önemlidir?

Güvenlik analizini hazırlayan kişi veya ekibin yaptığı kontroller önemli olmakla birlikte, analizlerin mümkün olduğunda bağımsız bir uzmanlık ve değerlendirme sürecinden geçirilmesi güvenilirliği artırır.

Bağımsız incelemenin amacı yalnızca bir yazım veya programlama hatası aramak değildir. Analizin temel yaklaşımı, varsayımları, olay seçimi, model seçimi, güvenlik kriterleri ve sonuçların yorumlanması da sorgulanabilir.

Farklı bir uzman veya bağımsız bir ekip, analizi hazırlayan ekibin gözden kaçırabileceği bir varsayımı, bağımlılığı veya tutarsızlığı fark edebilir.

Bağımsız inceleme "yeniden aynı hesabı yapmak" değildir

Bağımsız bir incelemenin amacı her durumda analizdeki bütün hesaplamaları baştan sona tekrar etmek değildir. İncelemenin kapsamı analizin güvenlik açısından önemine ve kullanılan yönteme göre belirlenebilir.

Bağımsız değerlendirme; olayların doğru seçilip seçilmediğini, kullanılan modellerin uygunluğunu, önemli varsayımların gerekçelendirilmesini, giriş verilerinin izlenebilirliğini, sonuçların kabul kriterleriyle doğru karşılaştırılıp karşılaştırılmadığını ve önemli belirsizliklerin ele alınıp alınmadığını sorgulayabilir.

İzlenebilirlik neden önemlidir?

Güvenlik analizinin güvenilir olabilmesi için sonuçların hangi bilgi ve varsayımlardan üretildiğinin geriye doğru izlenebilmesi gerekir.

Bir güvenlik sonucuna ulaşıldığında şu zincirin kurulabilmesi önemlidir:

Böyle bir izlenebilirlik, analizde daha sonra bir değişiklik yapılması gerektiğinde de önem kazanır. Yeni bir veri, tasarım değişikliği veya işletme deneyimi ortaya çıktığında, bunun hangi analiz sonuçlarını etkileyebileceği daha kolay belirlenebilir.

Güvenlik değerlendirmesi tek seferlik bir çalışma değildir

Bir güvenlik analizinin doğrulanmış olması, analiz dosyasının sonsuza kadar geçerli olduğu anlamına gelmez. Tesisin tasarımında, işletme koşullarında veya kullanılan bilgi ve yöntemlerde değişiklikler meydana gelebilir.

Yeni işletme deneyimleri, ekipman yaşlanması, tasarım değişiklikleri, yeni bilimsel bilgiler veya analiz yöntemlerindeki gelişmeler mevcut güvenlik değerlendirmesinin yeniden gözden geçirilmesini gerektirebilir.

Bu nedenle güvenlik değerlendirmesi, tasarım–analiz–doğrulama–iyileştirme döngüsünün bir parçası olarak ele alınır.

Güvenlik analizinin doğrulanmasında temel sorular

Bir güvenlik analizinin güvenilirliği değerlendirilirken genel olarak şu sorular sorulabilir:

• Analiz edilen fiziksel problem doğru tanımlanmış mı?
• Başlangıç olayı ve analiz koşulları doğru seçilmiş mi?
• Kullanılan model fiziksel sistemi yeterli biçimde temsil ediyor mu?
• Hesaplama programı amaçlanan kullanım için doğrulanmış mı?
• Modelde kullanılan parametrelerin kaynağı ve uygunluğu biliniyor mu?
• Başlangıç koşulları ve ekipman performansları uygun şekilde temsil edilmiş mi?
• Varsayımlar güvenlik açısından yeterince gerekçelendirilmiş mi?
• Belirsizlikler ve güvenlik marjları uygun biçimde ele alınmış mı?
• Hesaplama sonuçları fiziksel açıdan tutarlı mı?
• Sonuçlar kabul kriterleriyle doğru şekilde karşılaştırılmış mı?
• Analiz bağımsız bir teknik incelemeden geçirilmiş mi?
• Analizin bütün önemli girdileri ve sonuçları izlenebilir mi?
• Tasarım veya işletme koşullarındaki değişiklikler analiz sonuçlarına yansıtılmış mı?

Sonuç: Güvenilir sonuç, güvenilir analiz süreci gerektirir

Güvenlik değerlendirmesinde önemli olan yalnızca bir sonucun elde edilmesi değildir. O sonucun hangi olaydan, hangi varsayımlardan, hangi modelden, hangi verilerden ve hangi hesaplama yönteminden üretildiğinin bilinmesi gerekir.

Bu nedenle modellerin ve hesaplama programlarının doğrulanması, giriş verilerinin kontrol edilmesi, varsayımların gerekçelendirilmesi, sonuçların fiziksel açıdan değerlendirilmesi ve mümkün olduğunda bağımsız inceleme yapılması güvenlik değerlendirmesinin ayrılmaz parçalarıdır.

Böylece güvenlik değerlendirmesi yalnızca "hesaplama yapıldı" seviyesinde kalmaz; "hesaplama güvenilir bir yöntemle yapıldı, sonuçlar kontrol edildi, analiz bağımsız olarak değerlendirildi ve güvenlik kararında kullanılabilecek yeterli bir temele sahip" seviyesine ulaşır.

Sonuç olarak güvenlik analizinin kendisi de bir güvenlik zincirinin parçasıdır. Analizin herhangi bir halkasındaki belirsizlik veya hata, nihai güvenlik değerlendirmesini etkileyebilir. Bu nedenle güvenlik mühendisliğinde yalnızca tesis ve sistemler değil, tesisi değerlendirmek için kullanılan analiz yöntemleri de güvenilirlik açısından sınanır.

Bir sahanın güvenlik açısından uygun olduğunun belirlenmesi, o sahanın güvenlik değerlendirmesinin tamamlandığı anlamına gelmez. Çünkü hem sahanın çevresindeki koşullar zaman içerisinde değişebilir hem de saha hakkında sahip olduğumuz bilimsel ve teknik bilgiler gelişebilir.

Bu nedenle saha değerlendirmesi yalnızca tesis kurulmadan önce yapılan bir çalışma olarak görülmemelidir. Tesisin yaşam döngüsü boyunca saha ve bölge özelliklerinin güvenlik açısından izlenmesi, yeni bilgilerin değerlendirilmesi ve gerektiğinde mevcut güvenlik değerlendirmelerinin güncellenmesi gerekir.

Saha koşulları zaman içerisinde değişebilir

Bir nükleer tesisin çevresindeki bölge, tesisin işletme süresi boyunca tamamen sabit kalmayabilir. Nüfus dağılımı, yeni yerleşim alanları, ulaşım altyapısı, sanayi faaliyetleri veya bölgedeki diğer tesisler zaman içerisinde değişebilir.

Bu değişikliklerin tamamı doğrudan bir güvenlik sorunu oluşturmaz. Ancak saha ile çevresi arasındaki ilişkinin güvenlik açısından yeniden değerlendirilmesini gerektirebilecek yeni koşullar ortaya çıkabilir.

Aynı şekilde meteorolojik, hidrolojik veya diğer çevresel koşullar hakkındaki uzun dönemli gözlemler de mevcut değerlendirmelerin gözden geçirilmesine katkı sağlayabilir.

Sadece saha değil, saha hakkındaki bilgi de değişir

Yaşam döngüsü boyunca ortaya çıkan değişikliklerin tamamı fiziksel olarak sahanın değiştiği anlamına gelmez. Bazen yeni bilimsel çalışmalar veya daha gelişmiş ölçüm yöntemleri, daha önce bilinmeyen bir özelliğin ortaya çıkarılmasını sağlayabilir.

Örneğin yeni jeolojik araştırmalar, bölgenin sismik özellikleri hakkında daha ayrıntılı bilgiler sağlayabilir. Benzer şekilde daha uzun süreli meteorolojik gözlemler, aşırı hava olaylarının değerlendirilmesinde yeni veriler ortaya çıkarabilir.

Bu nedenle güvenlik değerlendirmesinde "saha değişti mi?" sorusu kadar "saha hakkında yeni bir şey öğrendik mi?" sorusu da önemlidir.

Yeni tehlike bilgileri değerlendirmeye geri beslenir

Saha değerlendirmesinin önemli bir bölümü, doğal ve insan kaynaklı dış tehlikelerin belirlenmesidir. Tesisin yaşam döngüsü boyunca bu tehlikeler hakkında yeni bilgiler ortaya çıkabilir.

Yeni bir jeolojik çalışma, daha ayrıntılı bir sismik değerlendirme, yeni meteorolojik veriler veya bölgedeki insan faaliyetlerinde meydana gelen değişiklikler, mevcut dış tehlike değerlendirmelerinin yeniden ele alınmasını gerektirebilir.

Buradaki amaç, her yeni bilgi ortaya çıktığında tesisin güvenli olmadığı sonucuna varmak değildir. Amaç, yeni bilginin mevcut güvenlik varsayımlarını, tasarım kabullerini veya güvenlik marjlarını etkileyip etkilemediğini belirlemektir.

Nüfus değişiklikleri neden önemlidir?

Önceki bölümlerde ele alındığı gibi, saha değerlendirmesi tesis ile toplum arasındaki ilişkiyi de kapsar. Bu ilişki tesisin işletme ömrü boyunca değişebilir.

Yeni yerleşimlerin oluşması, nüfus yoğunluğunun değişmesi veya bölgedeki insan faaliyetlerinin farklılaşması, tesis dışındaki radyolojik sonuçların ve acil durum hazırlığının değerlendirilmesinde dikkate alınabilecek değişikliklerdir.

Bu nedenle nüfus verilerinin yalnızca tesis kurulurken toplanıp daha sonra hiç değiştirilmemesi yeterli değildir. Çevredeki nüfusun güvenlik değerlendirmesindeki rolü zaman içerisinde yeniden incelenebilir.

Yeni tesisler ve insan kaynaklı dış tehlikeler

Tesisin çevresindeki insan faaliyetleri de zaman içerisinde değişebilir. Yeni sanayi tesisleri, ulaşım altyapısı veya diğer faaliyetler, daha önce mevcut olmayan insan kaynaklı dış tehlikelerin ortaya çıkmasına neden olabilir.

Bu nedenle saha değerlendirmesinde yalnızca doğal tehlikelerin değil, insan faaliyetlerinden kaynaklanabilecek dış olayların da yaşam döngüsü boyunca gözden geçirilmesi önemlidir.

Yeni bir dış tehlikenin belirlenmesi durumunda bunun tesis üzerindeki fiziksel etkileri, güvenlik sistemleri üzerindeki olası sonuçları ve güvenlik fonksiyonlarına etkisi değerlendirilir.

İşletme deneyimi saha değerlendirmesine de katkı sağlar

Tesis işletmeye alındıktan sonra elde edilen işletme deneyimleri, saha ile ilgili güvenlik değerlendirmelerinin gözden geçirilmesine katkı sağlayabilir.

Gerçek ölçümler, gözlemler, olaylar ve uzun dönemli çevresel veriler, daha önce kullanılan varsayımların değerlendirilmesine yardımcı olabilir.

Böylece güvenlik değerlendirmesi yalnızca başlangıçta hazırlanmış teorik verilere bağlı kalmaz; tesisin yaşam döngüsü boyunca elde edilen yeni bilgilerle beslenen dinamik bir mühendislik süreci haline gelir.

Saha değerlendirmesi tasarım değerlendirmesiyle bağlantılıdır

Saha hakkında yeni bir bilginin ortaya çıkması durumunda bunun yalnızca saha raporunda tutulması yeterli olmayabilir. Yeni bilginin tesis tasarımı ve güvenlik analizleri üzerindeki olası etkisi de incelenmelidir.

Örneğin bir dış tehlikenin değerlendirilmesinde kullanılan varsayımların değişmesi, ilgili yapıların, sistemlerin veya bileşenlerin güvenlik değerlendirmesini etkileyebilir. Bu nedenle saha değerlendirmesi ile tesis güvenlik değerlendirmesi arasında sürekli bir geri besleme bulunmalıdır.

Değerlendirme gerektiğinde yeniden yapılır

Yaşam döngüsü yaklaşımı, bütün saha çalışmalarının sürekli olarak sıfırdan yapılması anlamına gelmez. Önemli olan, güvenlik açısından anlamlı yeni bilgilerin ve değişikliklerin sistematik olarak belirlenmesi ve bunların mevcut değerlendirmeleri etkileyip etkilemediğinin incelenmesidir.

Böylece değerlendirme kaynakları güvenlik açısından önemli değişikliklere yönlendirilebilir. Yeni bilginin güvenlik üzerinde anlamlı bir etkisi yoksa mevcut değerlendirme korunabilir; etkisi varsa ilgili analizler ve gerekli güvenlik önlemleri güncellenebilir.

Saha değerlendirmesinin yaşam döngüsü döngüsü

Saha değerlendirmesinin yaşam döngüsü yaklaşımı basitçe aşağıdaki döngüyle ifade edilebilir:

Saha değerlendirmesinde temel sorular

Bir nükleer tesisin yaşam döngüsü boyunca saha değerlendirmesi sürdürülürken genel olarak şu sorular sorulabilir:

• Saha ve bölge koşullarında güvenlik açısından önemli bir değişiklik meydana geldi mi?
• Yeni jeolojik veya sismolojik bilgiler ortaya çıktı mı?
• Meteorolojik veya hidrolojik değerlendirmeleri etkileyebilecek yeni veriler var mı?
• Daha önce belirlenmemiş yeni bir doğal dış tehlike ortaya çıktı mı?
• Bölgedeki insan faaliyetlerinde güvenlik açısından önemli bir değişiklik oldu mu?
• Yeni tesisler veya altyapılar yeni dış tehlikeler oluşturuyor mu?
• Çevredeki nüfusun dağılımında önemli bir değişiklik meydana geldi mi?
• Yeni bilimsel bilgiler mevcut güvenlik varsayımlarını etkiliyor mu?
• İşletme deneyimleri saha değerlendirmesinde kullanılan kabullerle uyumlu mu?
• Yeni bilgiler tesis tasarımını veya güvenlik analizlerini etkiliyor mu?
• Mevcut güvenlik marjları yeni bilgiler karşısında yeterli olmaya devam ediyor mu?
• Güvenlik değerlendirmesinin veya ilgili analizlerin güncellenmesi gerekiyor mu?

Sonuç: Saha değerlendirmesi yaşayan bir süreçtir

Bir nükleer tesis için saha uygunluğunun belirlenmesi, tesisin işletme ömrü boyunca sahanın güvenlik açısından bir daha incelenmeyeceği anlamına gelmez. Saha koşulları, çevredeki insan faaliyetleri ve nüfus özellikleri değişebilir; daha önemlisi, saha hakkında sahip olunan bilimsel bilgi zaman içerisinde gelişebilir.

Bu nedenle saha değerlendirmesi; doğal ve insan kaynaklı dış tehlikeler, jeolojik ve meteorolojik bilgiler, çevresel koşullar, nüfus ve acil durum hazırlığı ile bağlantılı olarak yaşam döngüsü boyunca gözden geçirilebilir.

Yeni bir bilgi ortaya çıktığında amaç doğrudan tesisin güvensiz olduğu sonucuna ulaşmak değildir. Önce bu bilginin mevcut tasarım kabullerini, güvenlik analizlerini ve güvenlik marjlarını etkileyip etkilemediği belirlenir. Gerektiğinde ilgili değerlendirmeler güncellenir ve ilave güvenlik önlemleri ele alınır.

Böylece saha değerlendirmesi, tesisin yaşam döngüsü boyunca bilgi toplama, değerlendirme, analiz, doğrulama ve gerektiğinde iyileştirme döngüsü içerisinde devam eder. Güvenli bir saha yalnızca başlangıçta uygun olduğu gösterilmiş bir saha değil, değişen koşullar ve yeni bilgiler karşısında güvenlik açısından yeniden değerlendirilebilen bir sahadır.

Önceki bölümlerde güvenlik değerlendirmesinin farklı unsurları ayrıntılı olarak ele alındı: başlangıç olayları, güvenlik fonksiyonları, deterministik analiz, kabul kriterleri, tek hata varsayımı, insan müdahalesi, enerji ve destek sistemleri, tasarım ötesi koşullar, olasılıksal değerlendirme, saha koşulları, radyoaktif salım, savunma derinliği ve analizlerin doğrulanması.

Bütün bu çalışmalar, aslında üç temel mühendislik sorusunun etrafında toplanabilir: Ne yanlış gidebilir? Yanlış giderse nasıl kontrol edeceğiz? İlk savunmalar yeterli olmazsa ne yapacağız?

1. Ne yanlış gidebilir?

Güvenlik değerlendirmesi önce tesisin hangi olaylar karşısında normal işletme durumundan ayrılabileceğini belirlemeye çalışır. Bunun için yalnızca ekipman arızalarına bakılmaz.

İnsan hataları, enerji kayıpları, kontrol fonksiyonlarının kaybı, soğutma sorunları, akışkan sınırlarının bozulması, yangın, deprem, taşkın ve diğer dış tehlikeler gibi farklı başlangıç olayları değerlendirilebilir.

Buradaki amaç mümkün olan her şeyi rastgele listelemek değildir. Önemli olan olayların tesisin fiziksel davranışı, güvenlik fonksiyonları ve savunma derinliği üzerindeki etkilerini sistematik biçimde ortaya koymaktır.

Bir olayın adı değil, tesis üzerindeki etkisi önemlidir

Güvenlik değerlendirmesinde "deprem", "enerji kaybı", "soğutma kaybı" veya "ekipman arızası" gibi olay isimleri yalnızca başlangıç noktasıdır.

Asıl değerlendirme, bu olayların tesis içerisinde hangi fiziksel sonuçları doğurduğunu ve hangi güvenlik fonksiyonlarını zorladığını ortaya koyar.

Aynı başlangıç olayı farklı tasarımlarda farklı sonuçlar doğurabilir. Bu nedenle güvenlik değerlendirmesi, olayın adından çok olayın tesis üzerindeki fiziksel gelişimine odaklanır.

2. Yanlış giderse nasıl kontrol edeceğiz?

İkinci temel soru, belirlenen olayın meydana gelmesi halinde tesisin güvenliğini korumak için hangi güvenlik fonksiyonlarının gerçekleştirilmesi gerektiğidir.

Bir olay başladıktan sonra reaktörün güvenli şekilde durdurulması, artık ısının uzaklaştırılması, gerekli ölçüm ve kontrol fonksiyonlarının sürdürülmesi ve radyoaktif maddelerin fiziksel bariyerler içerisinde tutulması gibi güvenlik işlevleri önem kazanabilir.

Ancak burada da yalnızca "hangi sistem var?" sorusu yeterli değildir. Sistemlerin doğru zamanda, yeterli kapasiteyle, gerekli enerji ve destek sistemleri ile birlikte ve ihtiyaç duyulan süre boyunca güvenlik fonksiyonunu gerçekleştirip gerçekleştiremediği incelenir.

Güvenlik fonksiyonu ekipmandan daha önemlidir

Güvenlik değerlendirmesinin temel yaklaşımı ekipman merkezli değil, güvenlik fonksiyonu merkezli bir değerlendirmedir.

Bir pompanın çalışması, bir vananın açılması veya bir ölçüm cihazının veri üretmesi tek başına güvenliğin sağlandığını göstermez. Bu ekipmanların bir araya gelerek gerekli güvenlik fonksiyonunu gerçekleştirmesi gerekir.

Bu nedenle değerlendirme sırasında ekipmanın yanı sıra enerji kaynakları, kontrol sistemleri, ölçüm altyapısı, yardımcı sistemler, destek sistemleri ve bunlar arasındaki bağımlılıklar da dikkate alınır.

Tek hata ve bağımsızlık da bu sorunun içindedir

"Yanlış giderse nasıl kontrol edeceğiz?" sorusunun bir diğer boyutu, güvenlik fonksiyonunun tek bir ekipmana veya tek bir sisteme bağımlı olup olmadığıdır.

Bu nedenle güvenlik analizlerinde uygun durumlarda tek hata varsayımı yapılabilir; yedeklilik, çeşitlilik ve bağımsızlık değerlendirilir. Ayrıca birden fazla sistemi aynı anda etkileyebilecek ortak nedenli arızalar da dikkate alınır.

Böylece güvenlik değerlendirmesi, "sistem çalışır mı?" sorusundan "bir hata meydana geldiğinde gerekli güvenlik fonksiyonu yine de korunabilir mi?" sorusuna geçer.

İnsan da güvenlik zincirinin bir parçasıdır

Bazı olaylarda güvenlik fonksiyonlarının gerçekleştirilmesi otomatik sistemlere bağlı olabilirken, bazı aşamalarda insan müdahalesi de gerekebilir.

Böyle bir durumda yalnızca operatörün "müdahale edebileceği" varsayılmaz. Gerekli bilginin zamanında mevcut olması, bilginin doğru anlaşılması, karar için yeterli zamanın bulunması ve prosedürlerin uygulanabilir olması değerlendirilir.

Böylece insan faktörü de güvenlik değerlendirmesinin teknik zincirine dahil edilir.

3. İlk savunmalar yeterli olmazsa ne yapacağız?

Güvenlik mühendisliğinin en önemli özelliklerinden biri, ilk savunma katmanlarının her koşulda kusursuz çalışacağını varsaymamasıdır.

Belirli güvenlik varsayımları altında ilk savunma katmanlarının yeterli olmaması durumunda, sonraki savunma seviyelerinin nasıl devreye gireceği ve güvenlik fonksiyonlarının ne ölçüde korunabileceği değerlendirilir.

Bu yaklaşım savunma derinliğinin temelini oluşturur. Amaç kazanın mutlaka ağır bir sonuca ulaşacağını varsaymak değil; bir savunma katmanının beklenen sonucu sağlayamaması durumunda güvenliğin başka hangi yollarla korunabileceğini ortaya koymaktır.

Tasarım ötesi koşullar burada devreye girer

İlk savunma katmanlarının veya tasarım esaslı güvenlik önlemlerinin yeterli olmadığı daha zorlayıcı koşullar, tasarım ötesi koşulların değerlendirilmesiyle ele alınabilir.

Bu kapsamda birden fazla güvenlik fonksiyonunun zorlanması, uzun süreli soğutma sorunları, bazı güvenlik sistemlerinin kullanılabilirliğinin kaybedilmesi veya ağır yakıt hasarı gibi durumların güvenlik açısından nasıl yönetilebileceği incelenebilir.

Böylece güvenlik değerlendirmesi, "tasarım esasları içinde her şey çalışıyor mu?" sorusuyla sınırlı kalmaz; tasarımın daha zorlayıcı koşullardaki savunma kapasitesini de araştırır.

Radyoaktif maddelerin tutulması son savunmalardan biridir

Kazanın fiziksel gelişimi sırasında bazı güvenlik fonksiyonları yeterli olmazsa, radyoaktif maddelerin tutulmasını sağlayan fiziksel bariyerlerin durumu önem kazanır.

Burada amaç yalnızca kazayı kontrol etmek değil, radyoaktif maddelerin serbest kalmasını ve çevreye ulaşmasını mümkün olduğunca sınırlandırmaktır.

Bu nedenle kaynak terimi, bariyerlerin durumu, salım yolları, çevresel taşınım ve radyolojik sonuçlar da güvenlik değerlendirmesinin daha ileri aşamalarında birbirine bağlanır.

Acil durum hazırlığı güvenlik zincirinin dış halkasıdır

Tesis içerisindeki savunma katmanlarının ötesinde, gerekli durumlarda tesis dışındaki insanların ve çevrenin korunmasına yönelik acil durum hazırlığı da değerlendirmeye dahil olabilir.

Böylece güvenlik yaklaşımı yalnızca tesis içerisindeki sistemlerin davranışına değil, olası radyolojik sonuçların toplum üzerindeki etkilerinin sınırlandırılmasına kadar uzanır.

Bu durum, acil durum hazırlığının tesis güvenliğinden bağımsız olduğu anlamına gelmez. Aksine, tesis güvenliği, radyolojik sonuçların değerlendirilmesi ve toplumun korunması arasında bir süreklilik bulunur.

Üç soru aslında tek bir güvenlik döngüsüdür

Bu üç soru birbirinden bağımsız değildir. İlk sorunun cevabı ikinci sorunun başlangıç noktasını oluşturur. İkinci sorunun sonuçları ise üçüncü sorunun gerekip gerekmediğini ve hangi savunma katmanlarının değerlendirilmesi gerektiğini belirler.

Deterministik ve olasılıksal analizler bu üç soruyu destekler

Deterministik güvenlik analizi özellikle ikinci ve üçüncü soruya güçlü bir fiziksel temel sağlar. Belirli bir olayın meydana geldiği varsayılarak tesisin zaman içerisindeki davranışı ve güvenlik fonksiyonlarının yeterliliği incelenir.

Olasılıksal güvenlik değerlendirmesi ise farklı olay dizilerinin gerçekleşme olasılıklarını, ekipman ve insan hatalarının katkılarını ve farklı olay yollarının toplam risk içerisindeki önemini anlamaya yardımcı olur.

Böylece iki yaklaşım birbirinin alternatifi değil, güvenlik değerlendirmesinin farklı sorularını destekleyen tamamlayıcı yöntemler haline gelir.

Güvenlik değerlendirmesi bu üç soruyla sınırlı değildir

Bu üç soru güvenlik değerlendirmesinin temel mantığını özetlese de gerçek değerlendirme çok daha ayrıntılı mühendislik çalışmaları içerir. Olay seçimi, fiziksel modelleme, hesaplama yöntemleri, kabul kriterleri, belirsizlikler, insan faktörleri, saha koşulları, bağımlılıklar, doğrulama ve düzenleyici değerlendirme gibi birçok konu bu soruların altında yer alır.

Dolayısıyla üç soru bir hesaplama yöntemi değil, güvenlik değerlendirmesinin düşünme çerçevesidir. Ayrıntılı analiz yöntemleri ise bu soruların her birine teknik ve ölçülebilir cevaplar üretir.

Güvenlik değerlendirmesinin temel mantığı

Sonuç: Güvenlik mühendisliği "ya olursa?" sorusuyla başlar

Güvenlik değerlendirmesinin temelinde aslında çok basit görünen fakat kapsamı son derece geniş üç soru bulunur:

İlk soru olası tehlikeleri ve olayları belirler. İkinci soru güvenlik fonksiyonlarını ve tesisin bu olaylara karşı fiziksel tepkisini ortaya koyar. Üçüncü soru ise savunma derinliğini, tasarım ötesi koşulları, ağır kaza yönetimini ve gerektiğinde toplumun korunmasına yönelik önlemleri değerlendirmeye taşır.

Bu yaklaşımın amacı kazanın kesin olarak gerçekleşeceğini varsaymak değildir. Tam tersine amaç, istenmeyen olayların gerçekleşme ihtimalini azaltmak, gerçekleşmeleri halinde sonuçlarını kontrol etmek ve bir savunma katmanının yetersiz kalması durumunda güvenliği koruyabilecek başka katmanların bulunmasını sağlamaktır.

Böylece güvenlik değerlendirmesi, tesisin yalnızca normal koşullarda nasıl çalıştığını değil, beklenmeyen olaylar karşısında nasıl davrandığını ve savunma katmanlarının sınırlarına ulaşıldığında sonuçların nasıl sınırlandırılabileceğini ortaya koyar.

Sonuç olarak güvenlik değerlendirmesi, "kazayı nasıl önleriz?" sorusundan başlayıp "kaza meydana gelirse nasıl kontrol ederiz?" ve nihayet "ilk savunmalar yeterli olmazsa insanları ve çevreyi nasıl koruruz?" sorularına kadar uzanan bütünsel bir mühendislik yaklaşımıdır.

Nükleer güvenlik değerlendirmesinin amacı, tesis için "hiçbir zaman kaza olmayacağını" veya matematiksel anlamda "riskin sıfır olduğunu" kanıtlamak değildir. Karmaşık bir mühendislik sisteminde bütün belirsizliklerin ve bütün olası arızaların tamamen ortadan kaldırılması mümkün değildir.

Güvenlik mühendisliğinin yaklaşımı bunun yerine, hangi olayların meydana gelebileceğini anlamak, bu olayların nasıl gelişebileceğini analiz etmek, güvenlik fonksiyonlarının yeterliliğini göstermek ve olası sonuçları sınırlandırmak üzerine kuruludur.

Riskin sıfır olmaması tesisin güvensiz olduğu anlamına gelmez

"Risk sıfır değil" ifadesi ile "tesis güvensiz" ifadesi aynı anlama gelmez. Güvenlik mühendisliğinde riskin tamamen ortadan kaldırılması yerine, risk oluşturan tehlikelerin sistematik biçimde belirlenmesi ve riskin mümkün olduğunca azaltılması hedeflenir.

Bu yaklaşım, günlük yaşamda kullanılan karmaşık mühendislik sistemlerinde de görülür. Bir sistemin hiçbir arızaya uğramayacağını garanti etmek yerine, arıza olasılığını azaltmak, arızanın sonuçlarını sınırlandırmak ve bir arıza meydana geldiğinde güvenli duruma geçebilmek amaçlanır.

Nükleer tesislerde ise bu yaklaşım çok daha yüksek güvenlik gereklilikleri, çok katmanlı savunma ve kapsamlı analizlerle uygulanır.

Güvenlik değerlendirmesi neyi kanıtlamaya çalışır?

Güvenlik değerlendirmesi tek bir "güvenlidir" veya "güvenli değildir" sonucundan ibaret değildir. Farklı analizler, tasarımın belirli güvenlik gerekliliklerini karşılayıp karşılamadığını ve güvenlik fonksiyonlarının belirlenen olaylar altında yeterli olup olmadığını ortaya koymaya çalışır.

Bu nedenle değerlendirme kapsamında örneğin;

• hangi başlangıç olaylarının meydana gelebileceği,
• bu olayların tesisin fiziksel davranışını nasıl etkilediği,
• hangi güvenlik fonksiyonlarının gerekli olduğu,
• güvenlik sistemlerinin bu fonksiyonları gerçekleştirip gerçekleştiremediği,
• tek hata ve bağımlılıkların güvenliği nasıl etkilediği,
• dış tehlikelerin birden fazla sistemi aynı anda etkileyip etkileyemediği,
• tasarım ötesi koşullarda ilave savunma özelliklerinin nasıl kullanılabileceği,
• fiziksel bariyerlerin radyoaktif maddeleri sınırlandırmadaki rolü,
• olası radyolojik sonuçların nasıl sınırlandırılabileceği ve
• analizlerdeki belirsizlikler karşısında yeterli güvenlik marjlarının bulunup bulunmadığı

değerlendirilir.

Güvenlik değerlendirmesi bir "zayıflık arama" faaliyetidir

Güvenlik değerlendirmesinin önemli amaçlarından biri, tasarımın yalnızca güçlü yönlerini doğrulamak değil, zayıf veya hassas noktaları ortaya çıkarmaktır.

Örneğin bir güvenlik fonksiyonunun tek bir destek sistemine aşırı bağımlı olduğu veya farklı güvenlik sistemlerinin ortak bir arızadan etkilenebileceği analiz sonucunda görülebilir.

Benzer şekilde bir hesaplama sonucunda güvenlik marjının beklenenden düşük olduğu veya belirli bir olayın tasarım açısından daha zorlayıcı olduğu ortaya çıkabilir.

Böyle bir bulgu güvenlik değerlendirmesinin başarısız olduğu anlamına gelmez. Tam tersine, değerlendirme iyileştirme gerektiren noktayı ortaya çıkardığı için güvenlik mühendisliğine değer kazandırmış olur.

Risk tek bir sayıdan ibaret değildir

Güvenlik değerlendirmesinde risk kavramı yalnızca tek bir sayıya indirgenemez. Olayların gerçekleşme olasılıkları, olay dizilerinin gelişimi, ekipman ve insan hataları, ortak nedenli arızalar ve sonuçların büyüklüğü birlikte değerlendirilir.

Özellikle olasılıksal güvenlik değerlendirmesi, toplam riskin yanında riske en fazla katkıda bulunan olay dizilerinin ve güvenlik zayıflıklarının belirlenmesine yardımcı olabilir.

Böylece güvenlik mühendisliği yalnızca "risk ne kadar?" sorusunu değil, "riskin önemli bölümünü hangi olaylar ve hangi güvenlik zayıflıkları oluşturuyor?" sorusunu da sorar.

Deterministik analiz ile risk kavramı

Deterministik analizde belirli bir olayın meydana geldiği varsayılır ve tesisin bu olay karşısındaki fiziksel davranışı hesaplanır. Buradaki temel soru, "Bu olay meydana gelirse güvenlik fonksiyonları yeterli olacak mı?" şeklindedir.

Bu yaklaşım olayın gerçekleşme olasılığını hesaplamaktan çok, olay meydana geldiğinde tesisin nasıl davranacağını anlamaya odaklanır.

Böylece düşük olasılıklı olsa bile güvenlik açısından önemli sonuçlar doğurabilecek olaylar, olasılıkları düşük olduğu gerekçesiyle otomatik olarak analiz dışı bırakılmaz.

Olasılıksal değerlendirme riskin yapısını gösterir

Olasılıksal güvenlik değerlendirmesi ise farklı başlangıç olaylarının ve olay dizilerinin gerçekleşme olasılıklarını dikkate alarak riskin yapısını incelemeye yardımcı olur.

Ekipman arızaları, insan hataları, ortak nedenli arızalar ve güvenlik sistemlerinin başarısızlıkları olay dizileri içerisinde değerlendirilerek hangi yolların güvenlik açısından daha önemli olduğu belirlenebilir.

Böylece deterministik ve olasılıksal yaklaşımlar birbirini tamamlar:

Belirsizlik hiçbir zaman tamamen yok edilemez

Güvenlik analizlerinde fiziksel modeller, ölçümler, ekipman performansları ve olayların gelişimi hakkında çeşitli belirsizlikler bulunabilir.

Bu nedenle güvenlik değerlendirmesinin amacı belirsizliği "yok saymak" değildir. Belirsizliğin kaynağı belirlenir, sonuç üzerindeki etkisi değerlendirilir ve uygun durumlarda güvenlik marjları kullanılır.

Böylece analiz, yalnızca tek bir varsayılan değere bağlı kalmak yerine sonuçların belirsizlikler karşısındaki hassasiyetini de dikkate alabilir.

Güvenlik marjı neden önemlidir?

Bir güvenlik kriterinin tam sınırında kalan bir sonuç ile aynı kriterden anlamlı bir uzaklıkta kalan bir sonuç güvenlik açısından aynı değerlendirmeye sahip olmayabilir.

Bu nedenle güvenlik değerlendirmesinde yalnızca "kriter sağlandı mı?" sorusu değil, "kriter ile hesaplanan sonuç arasında ne kadar güvenlik payı bulunuyor?" sorusu da önemlidir.

Güvenlik marjları; model belirsizlikleri, başlangıç koşullarındaki değişkenlik, ekipman performansı ve diğer belirsizliklerin sonuç üzerindeki etkilerinin yönetilmesine yardımcı olur.

"Kabul edilebilir risk" ne anlama gelir?

Nükleer güvenlikte hedef, riskin matematiksel olarak sıfıra indirilmesi değildir. Güvenlik hedefleri, düzenleyici gereklilikler, tasarım kriterleri, savunma derinliği ve diğer güvenlik ilkeleri birlikte kullanılarak risklerin mümkün olduğunca düşük tutulması amaçlanır.

Buradaki yaklaşım, "risk kabul edilebilir olduğu için güvenlik önlemlerine gerek yoktur" şeklinde anlaşılmamalıdır. Tam tersine, güvenlik değerlendirmesi risklerin azaltılmasını ve güvenlik hedefleriyle uyumlu biçimde yönetilmesini sağlayan araçlardan biridir.

Kabul kriterleri ve güvenlik hedefleri ise tek bir evrensel sayıdan ibaret değildir. İlgili tesisin özellikleri, olay türü ve uygulanabilir düzenleyici çerçeveye göre farklı kriterler bulunabilir.

Güvenlik değerlendirmesi geleceği tahmin etmek değildir

Güvenlik analizleri gelecekte meydana gelecek olayların tam olarak ne zaman ve nasıl gerçekleşeceğini tahmin etmek amacıyla yapılmaz.

Bunun yerine belirli ve teknik olarak gerekçelendirilebilir koşullar altında tesisin nasıl davranacağını ortaya koymaya çalışır.

Bu nedenle analizler bir anlamda "mühendislik düşünce deneyleri" olarak da görülebilir: "Bu olay gerçekleşirse ne olur?", "Bu sistem çalışmazsa ne olur?", "Bu savunma katmanı yeterli olmazsa hangi seçenekler kalır?" gibi sorular sistematik biçimde incelenir.

Güvenlik değerlendirmesi bir güvenlik garantisi değildir

Hiçbir güvenlik analizi, gelecekteki bütün olayları eksiksiz biçimde öngörebileceği veya bütün riskleri matematiksel olarak sıfırlayabileceği anlamına gelmez.

Bunun yerine güvenlik değerlendirmesi, tasarımın bilinen ve makul biçimde öngörülebilen koşullar karşısındaki yeterliliğini göstermek, belirsizlikleri yönetmek, zayıflıkları belirlemek ve güvenliği sürekli geliştirmek için kullanılır.

Bu nedenle güvenlik değerlendirmesinin değeri, "hiçbir şey olmayacak" şeklinde bir garanti vermesinde değil, istenmeyen olaylara karşı sistematik bir mühendislik savunması oluşturmasında yatar.

Güvenlik değerlendirmesinin gerçek amacı

Güvenlik değerlendirmesi sonunda elde edilmek istenen şey "risk sıfırdır" cümlesi değildir. Daha anlamlı olan, aşağıdaki sorulara teknik olarak savunulabilir cevaplar verebilmektir:

• Hangi tehlikeler ve başlangıç olayları belirlenmiştir?
• Bu olayların tesis üzerindeki fiziksel etkileri anlaşılmış mıdır?
• Gerekli güvenlik fonksiyonları belirlenmiş midir?
• Güvenlik sistemlerinin ve destek sistemlerinin yeterliliği gösterilmiş midir?
• Tek hata, bağımlılık ve ortak nedenli arızalar dikkate alınmış mıdır?
• Savunma derinliğinin farklı katmanları yeterli midir?
• Tasarım ötesi koşullarda ilave savunma özellikleri değerlendiriliyor mu?
• Radyoaktif maddelerin tutulması ve olası salımların sınırlandırılması yeterince değerlendirilmiş midir?
• Saha ve çevresel koşullar güvenlik analizine doğru biçimde dahil edilmiş midir?
• Model, veri ve varsayımlardaki belirsizlikler uygun biçimde ele alınmış mıdır?
• Analizler doğrulanmış ve bağımsız olarak gözden geçirilmiş midir?
• Ortaya çıkan bulgular güvenlik iyileştirmelerine dönüştürülebiliyor mu?

Sonuç: Amaç risksiz bir tesis değil, riskleri yöneten bir güvenlik sistemidir

Nükleer güvenlik değerlendirmesi, riskin matematiksel olarak sıfır olduğunu kanıtlayan bir yöntem değildir. Çünkü karmaşık fiziksel sistemlerde belirsizlik, arıza ve beklenmeyen olayların tamamen ortadan kaldırılması mümkün değildir.

Güvenlik mühendisliğinin amacı bunun yerine, tehlikeleri belirlemek, riskleri azaltmak, kazaların gelişimini kontrol etmek, güvenlik fonksiyonlarını korumak, radyoaktif maddelerin tutulmasını sağlamak ve olası sonuçları sınırlandırmaktır.

Bu yaklaşımda güvenlik değerlendirmesi yalnızca mevcut tasarımın yeterliliğini göstermek için değil, aynı zamanda tasarımın ve işletmenin hangi noktalarının daha da geliştirilebileceğini ortaya çıkarmak için kullanılır.

Sonuç olarak güvenliğin özü, hiçbir şeyin yanlış gitmeyeceğini varsaymak değil; yanlış gidebilecek şeyleri önceden düşünmek, bunları analiz etmek ve bir olay meydana geldiğinde bile güvenliği koruyabilecek savunma katmanlarını oluşturmaktır.

Nükleer güvenlikte yalnızca "bu tesis güvenlidir" demek yeterli değildir. Bir güvenlik iddiasının mühendislik açısından anlamlı olabilmesi için güvenliğin nasıl sağlandığının, hangi varsayımlar altında değerlendirildiğinin ve güvenliğin hangi koşullarda sürdürülebildiğinin gösterilmesi gerekir.

Güvenlik değerlendirmesinin temel amacı da budur. Tasarımda öngörülen güvenlik özellikleri, belirli olaylar ve koşullar altında analiz edilir; güvenlik fonksiyonlarının yeterliliği incelenir; sonuçlar uygun kabul kriterleriyle karşılaştırılır ve gerekli güvenlik marjlarının bulunduğu gösterilmeye çalışılır.

Güvenlik bir varsayım değil, gösterilmesi gereken bir sonuçtur

Bir sistemin güvenli olduğu, yalnızca ekipmanların tek tek güvenilir görünmesine bakılarak söylenemez. Önemli olan, bu ekipmanların bir araya geldiğinde gerekli güvenlik fonksiyonlarını gerçekleştirebilmesidir.

Bu nedenle güvenlik değerlendirmesi; başlangıç olayından nihai güvenli duruma kadar olan olay dizisini incelemeli ve güvenlik fonksiyonlarının olay boyunca korunabildiğini ortaya koymalıdır.

Güvenlik değerlendirmesinin kurduğu temel zincir

İyi yapılandırılmış bir güvenlik değerlendirmesi, farklı analizleri birbirinden kopuk çalışmalar olarak değil, aynı güvenlik sorusunun birbirini tamamlayan parçaları olarak ele alır.

Bu zincirin herhangi bir halkasının yeterince değerlendirilmemesi, güvenlik değerlendirmesinin bütünlüğünü zayıflatabilir. Örneğin bir güvenlik sisteminin çalışabilir olması tek başına yeterli değildir; gerekli enerji, ölçüm, kontrol ve destek sistemlerinin de aynı olay koşulları altında kullanılabilir olması gerekir.

Hesaplama tek başına yeterli değildir

"Güvenlik hesapla gösterilir" ifadesi, güvenliğin yalnızca bir bilgisayar programının ürettiği sonuçtan ibaret olduğu anlamına gelmez.

Hesaplamanın güvenilir olabilmesi için kullanılan fiziksel modellerin, matematiksel yöntemlerin, hesaplama programlarının, parametrelerin, başlangıç koşullarının ve varsayımların de uygunluğu değerlendirilmelidir.

Ayrıca hesaplama sonuçlarının belirsizlikleri dikkate alınmalı ve gerektiğinde uygun güvenlik marjları kullanılmalıdır. Böylece güvenlik değerlendirmesi, yalnızca bir sayı üretmekten çıkar ve o sayının fiziksel ve mühendislik açısından ne anlama geldiğini sorgulayan bir çalışmaya dönüşür.

Tek bir analiz yöntemi bütün resmi göstermez

Nükleer güvenlik değerlendirmesinde farklı yöntemler farklı sorulara cevap verir. Deterministik analiz, belirli bir olayın meydana gelmesi durumunda tesisin nasıl davranacağını incelemeye yardımcı olur.

Olasılıksal değerlendirme ise farklı başlangıç olayları, ekipman başarısızlıkları, insan hataları ve olay dizileri arasındaki ilişkileri inceleyerek riskin yapısının anlaşılmasına katkı sağlar.

Saha değerlendirmeleri ise tesisin bulunduğu ortamdan kaynaklanabilecek doğal ve insan kaynaklı dış tehlikeleri, bunların tesis üzerindeki etkilerini ve çevreyle olan etkileşimini ele alır.

Bu nedenle güçlü bir güvenlik değerlendirmesi tek bir analiz yöntemine dayanmak yerine, birbirini tamamlayan analiz ve doğrulama yöntemlerini birlikte kullanır.

Savunma derinliği analizle sınanır

Güvenlik tasarımının temelini oluşturan savunma derinliği, yalnızca tasarım dokümanlarında tanımlanmış bir kavram olarak kalmamalıdır. Güvenlik değerlendirmesi, bu savunma katmanlarının farklı olaylar altında gerçekten işlevsel olup olmadığını sınar.

İlk savunma katmanı bir olayın meydana gelmesini önlemeye çalışabilir. Buna rağmen olay meydana gelirse erken algılama ve kontrol sistemleri devreye girebilir. Bunlar yeterli olmazsa soğutma, bariyerler ve diğer koruma katmanları devreye girer. Daha ileri koşullarda ilave önleme ve sonuçların sınırlandırılması önlemleri, son aşamada ise acil durum düzenlemeleri önem kazanır.

Buradaki temel mühendislik sorusu şudur:

Bu sorunun cevabı; yedeklilik, çeşitlilik, bağımsızlık, tek hata yaklaşımı, ortak nedenli arızalar, destek sistemleri, enerji kaynakları, insan faktörleri ve güvenlik marjları birlikte değerlendirilerek aranır.

Güvenlik değerlendirmesi bir son kontrol değildir

Güvenlik değerlendirmesini yalnızca tesis tasarımı tamamlandıktan sonra yapılan son bir kontrol olarak görmek eksik bir yaklaşımdır. Güvenlik değerlendirmesi tasarım süreciyle birlikte gelişir ve elde edilen sonuçlar tasarımın iyileştirilmesine geri besleme sağlayabilir.

Tasarım değiştikçe analizler yeniden yapılabilir; yeni bilimsel bilgiler ortaya çıktığında varsayımlar gözden geçirilebilir; işletme deneyimlerinden elde edilen bilgiler güvenlik değerlendirmelerine yansıtılabilir.

Böylece ortaya tek seferlik bir hesaplama değil, tasarım ile güvenlik değerlendirmesi arasında sürekli çalışan bir mühendislik döngüsü çıkar.

Güvenlik değerlendirmesi yaşam döngüsü boyunca devam eder

Güvenlik değerlendirmesi tasarım aşamasında başlayıp tesisin işletmeye alınmasıyla sona ermez. Tesis işletilirken yeni işletme deneyimleri, ekipman performansları, yaşlanma etkileri, saha koşullarındaki değişiklikler ve yeni bilimsel bilgiler güvenlik değerlendirmesinin girdilerini değiştirebilir.

Bu nedenle güvenlik değerlendirmesi, tasarım, imalat ve inşaat, devreye alma, işletme, bakım, değişiklik yönetimi ve gerektiğinde tesisin hizmetten çıkarılması süreçleriyle ilişkilidir.

Böyle bir yaklaşım, güvenliği yalnızca tesisin ilk tasarımına ait bir özellik olmaktan çıkarır ve tesisin bütün yaşam döngüsüne yayılan bir mühendislik sürecine dönüştürür.

Güvenlik değerlendirmesinin nihai sorusu

Bütün bu çalışmaların sonunda aslında tek bir temel soru etrafında birleşilir:

Bu soruya verilecek cevap yalnızca bir hesaplama sonucuna değil; tasarımın bütünlüğüne, güvenlik fonksiyonlarına, sistemlerin ve destek zincirlerinin güvenilirliğine, fiziksel bariyerlere, saha koşullarına, insan faktörlerine, analiz yöntemlerine, belirsizliklere ve savunma derinliğinin bütün katmanlarına dayanır.

Sonuç

Nükleer güvenlik değerlendirmesi, "bu tesis güvenlidir" şeklindeki bir iddiayı tekrarlamak yerine, bu iddianın mühendislik açısından nasıl desteklendiğini göstermeye çalışır.

Bunun için tehlikeler belirlenir, başlangıç olayları tanımlanır, tesisin fiziksel davranışı analiz edilir, güvenlik fonksiyonları sınanır, sistemlerin ve destek zincirlerinin yeterliliği değerlendirilir, tek hata ve ortak nedenli arızalar dikkate alınır, savunma derinliği incelenir, radyolojik sonuçlar değerlendirilir ve sonuçlar uygun kabul kriterleri ile karşılaştırılır.

Ancak güvenlik değerlendirmesi burada da sona ermez. Analizin kendisi doğrulanır; belirsizlikler ve güvenlik marjları değerlendirilir; deterministik ve olasılıksal yaklaşımlar birlikte kullanılır; saha koşulları, işletme deneyimi ve yeni bilgiler dikkate alınır.

Sonuç olarak güvenlik tasarımı bir iddia, güvenlik değerlendirmesi ise bu iddianın mühendislik açısından sınanmasıdır. Tasarım güvenliğin nasıl sağlanacağını ortaya koyar; güvenlik değerlendirmesi ise bu tasarımın farklı olaylar ve belirsizlikler altında gerçekten beklenen güvenlik performansını sağlayıp sağlayamayacağını sistematik olarak sorgular.

Bu nedenle nükleer güvenlikte güçlü olan yaklaşım, "hiçbir şey yanlış gitmeyecek" varsayımına değil, yanlış gidebilecek şeyleri önceden düşünmeye, analiz etmeye ve bir olay meydana geldiğinde dahi güvenliği koruyabilecek çok katmanlı bir savunma oluşturmaya dayanır.