CEM en centrales nucleares nuevas: I&C, RG 1.180 e IEC 62003

Los primeros reactores nuevos en décadas en Estados Unidos y Europa occidental comparten algo que las centrales antiguas no tenían cuando arrancaron: su instrumentación y control (I&C) es digital, desde las tarjetas de entrada hasta la sala de control basada en pantallas. Eso cambia el papel de la compatibilidad electromagnética. En una central analógica, la interferencia significaba sobre todo lecturas ruidosas. En una central digital, una perturbación puede reiniciar un procesador, corromper un mensaje o provocar una actuación espuria en un sistema de seguridad.

Las nuevas construcciones de un vistazo

Los proyectos occidentales recientes usan dos diseños: el Westinghouse AP1000 en Estados Unidos y el EPR en Europa. Ambos se diseñaron desde el principio con sistemas de protección y control basados en microprocesadores, en lugar de añadir equipos digitales a una arquitectura analógica.

Por qué la CEM se vuelve un tema de seguridad con la I&C digital

Los canales de protección analógicos suelen degradarse de forma gradual: la interferencia añade ruido o un desplazamiento en un comparador de disparo, y el error crece con la perturbación. Los equipos digitales fallan de otra manera. Un transitorio rápido muy por debajo de cualquier umbral de daño puede causar un mal funcionamiento cuyo efecto no guarda relación con el tamaño de la perturbación.

• Reinicio o bloqueo: una ráfaga en un puerto de alimentación o de E/S perturba una línea de reloj o de reinicio. El watchdog saca el canal de servicio o, si el diseño es malo, el canal se congela en su última salida.
• Errores de datos: tramas corrompidas en un enlace entre armarios o divisiones. Deben detectarse y descartarse, nunca usarse para actuar.
• Actuación espuria: un estado falso en una entrada digital puede arrancar una bomba o mover una válvula, lo que en un sistema de seguridad es en sí mismo un suceso que hay que analizar.
• Fallo de causa común: las divisiones redundantes suelen usar la misma plataforma de hardware. Si una sola perturbación, como un transitorio de maniobra en una alimentación compartida o un radioteléfono portátil en un pasillo, afecta a todas las divisiones a la vez, la redundancia deja de proteger la función de seguridad.

La experiencia operativa en centrales incluye señales espurias atribuidas a radioteléfonos portátiles, soldadura durante paradas y maniobras de grandes cargas. Por eso los reguladores tratan la CEM como parte de la cualificación de equipos, junto a la cualificación ambiental y sísmica, y no solo como un requisito de acceso al mercado.

Los principales documentos de requisitos

NRC Regulatory Guide 1.180 (Estados Unidos)

La RG 1.180, Guidelines for Evaluating Electromagnetic and Radio-Frequency Interference in Safety-Related Instrumentation and Control Systems, describe un método que la NRC considera aceptable para demostrar la compatibilidad EMI/RFI de la I&C relacionada con la seguridad. No inventa ensayos nuevos. Respalda métodos de ensayo de MIL-STD-461 (por ejemplo CE101, CE102, RE101, RE102, CS114, CS115, CS116, RS101 y RS103), métodos alternativos de la serie IEC 61000-4 y las normas IEEE C62.41 y C62.45 para ondas de choque, e indica los límites de emisión y niveles de ensayo que deben usarse con ellos. También respalda IEEE Std 1050 para la práctica de puesta a tierra e instalación y trata los transmisores portátiles mediante zonas de exclusión.

IEC 62003 (I&C nuclear internacional)

La IEC 62003, preparada por el subcomité SC 45A, establece los requisitos de ensayo de CEM para los equipos de I&C importantes para la seguridad en centrales nucleares. Usa los métodos de inmunidad de la serie IEC 61000-4 y los métodos de emisión CISPR conocidos del trabajo comercial, pero elige los niveles de ensayo para el entorno de la central y exige criterios de aceptación vinculados a la función de seguridad. Forma parte de la familia del SC 45A junto con la IEC 61513 (requisitos de nivel de sistema para la I&C de seguridad) y la IEC 61226 (clasificación de funciones de I&C), y se cita con frecuencia donde el licenciamiento sigue las normas nucleares IEC, como en gran parte de Europa.

IEC 61000-6-5 (entorno de centrales eléctricas y subestaciones)

La IEC 61000-6-5 es una norma genérica de inmunidad del TC 77 para equipos usados en centrales eléctricas y subestaciones. No es específica de la industria nuclear y solo cubre la inmunidad, pero describe el entorno electromagnético de una central por tipo de puerto y ubicación, incluidas las perturbaciones típicas de las maniobras en alta tensión. Es útil para los equipos del resto de la planta (BOP), para equipos sin norma de producto propia y como comprobación cruzada de que los niveles elegidos para un sistema de seguridad no quedan por debajo del entorno general de la central.

Qué se ensaya y qué representa

El criterio de aceptación es donde el ensayo nuclear más se diferencia del comercial. Las normas comerciales de inmunidad como la IEC 61000-6-2 aceptan, en muchos ensayos de transitorios, una pérdida temporal de función que se recupera sola. Para una función de seguridad eso no suele ser aceptable. El plan de ensayos exige normalmente que las salidas de seguridad no cambien de estado, que los diagnósticos puedan informar de un fallo pero no provocar un disparo no deseado, y que se detecten los errores de comunicación. El equipo se ensaya en una configuración representativa con su software de aplicación en marcha, y todas las salidas de seguridad y enlaces de comunicación se vigilan durante la exposición, no solo se comprueban después.

Medidas de diseño que funcionan en una central

• Enlaces de fibra óptica entre divisiones redundantes y entre sistemas de seguridad y no de seguridad. Eliminan el camino galvánico para los transitorios en modo común y apoyan el aislamiento eléctrico exigido entre divisiones.
• Separación de cables por categoría. Las señales analógicas de bajo nivel, la comunicación digital y los cables de potencia van en bandejas separadas o con distancias de separación documentadas, lo que también apoya la independencia física de las divisiones de seguridad exigida por IEEE Std 384.
• Terminación de pantallas en la entrada del armario. Las pantallas de los cables se conectan a 360° en la placa pasacables en lugar de con coletas (pigtails), y el concepto de puesta a tierra de la central (por ejemplo según IEEE Std 1050) se decide una vez y se aplica de forma coherente.
• Protección en el límite del armario. Los dispositivos de protección contra sobretensiones y los filtros en los puntos de entrada derivan los transitorios antes de que lleguen a las tarjetas lógicas, en lugar de confiar en protecciones dentro de la electrónica.
• Comportamiento a prueba de fallos, watchdogs y diversidad. El AP1000, por ejemplo, incluye un sistema de actuación diverso (diverse actuation system) para que un fallo de causa común de la plataforma de protección principal no elimine todas las funciones de protección.

Dos estimaciones sencillas son útiles en las revisiones de diseño: la intensidad de campo que produce a una distancia dada un radioteléfono portátil de potencia conocida, que fija una distancia de exclusión razonable, y la potencia de amplificador necesaria para reproducir en la cámara de ensayo la intensidad de campo cualificada. Si se alega el apantallamiento del armario como medida, debe verificarse con una medida de pérdida de inserción en lugar de suponerse.

Errores comunes y límites

• Suponer que un producto industrial con marcado CE ya está cualificado. Su informe de ensayo muestra niveles y criterios comerciales; el plan de ensayos nuclear puede exigir otros niveles, rangos de frecuencia más amplios y criterios de funcionamiento más estrictos.
• Ensayar una sola tarjeta en el banco. Las longitudes de cable, la puesta a tierra y la carga de software cambian el resultado, así que la configuración ensayada debe coincidir con la instalada o deben justificarse las diferencias.
• Olvidar que la central sigue cambiando. Un nuevo variador de velocidad, una red inalámbrica o un cable con otro recorrido cambian el entorno; las modificaciones necesitan una revisión de CEM, y las medidas en planta ayudan a confirmar el entorno supuesto.
• Tratar la CEM como un ensayo final. La separación, la puesta a tierra y la disposición de armarios se fijan pronto en el diseño de una central, y un fallo detectado tarde en el proyecto cuesta mucho más de corregir que en un producto comercial.