Razvoj kriterijev tveganja za trajne spremembe v jedrski elektrarni
Marko Cepin
Institut "Jožef Stefan", Odsek za reaktorsko tehniko, Jamova 39, Ljubljana, Slovenija E-pošta: marko.cepin@ijs.si
Povzetek. Kriterij tveganja je meja, ki loči sprejemljivo od nesprejemljivega tveganja oz. loči, kaj je varno in kaj ni. Določitev kvantitativnih kriterijev tveganja za trajne spremembe v jedrski elektrarni pomeni določitev kriterijev, ki bodo na podlagi verjetnosti določenih dogodkov in njihovih posledic omogočili ločiti, katere trajne spremembe v jedrski elektrarni je varno narediti in katere ne. Določitev kriterijev je zasnovana tako, da je primerjano tveganje v osnovnem stanju elektrarne s tveganjem v stanju predvidene spremembe. Spremembe, ki tveganje zmanjšajo, so lahko sprejemljive. Spremembe, ki le neznatno povečajo tveganje, so zaradi drugih morebitnih prednosti še lahko sprejemljive. Spremembe, ki znatno povečajo tveganje, ne morejo biti sprejemljive, tudi če prinašajo druge morebitne prednosti. Določitev kriterijev tveganja omogoča proces sprejemanja odločitev z upoštevanjem tveganja, ki je ena izmed prioritet na področju verjetnostnih varnostnih analiz.
Ključne besede: verjetnostna varnostna analiza, tveganje, kriterij, varnost, zanesljivost
Development of Risk Criteria for Permanent Changes in a Nuclear Power Plant
Extended abstract. The risk criterion is a term which may distinguish between what is considered as an acceptable level of safety and what is not.
The purpose of the paper is to define quantitative risk criteria which would (based on probabilities of events and their consequences) differentiate between permanent changes in a nuclear power plant that are safe and those that are not. The need for the risk criteria has evolved in the last decade when the risk-informed decision-making principles were agreed [1], [2], [3], [4], [5]. Reaching the agreement has required many efforts from researchers dealing with probabilistic safety assessment applications [6], [7], [8], [9], [10], [11], [12], [13].
One of the ways of determining quantitative risk criteria for permanent changes in nuclear power plant considering probabilistic safety assessment is presented. The risk criteria for permanent changes are based on a comparison between the mean risk before and after the change. If the risk decreases due to the selected change, this change may normally be acceptable. If the risk increases only for a negligible increment due to the change, other benefits of the change can prevail and this change may be accepted in spite of the risk increase. If the risk increases significantly due to the selected change, this change cannot be allowed in any
circumstances.
Figure 1 shows quantitative risk criteria considering the core damage frequency. Figure 2 shows quantitative risk criteria considering large early release frequency. Two examples of permanent plant changes are shown to illustrate application of the developed criteria. The first is a physical change in the plant, i.e. installation of additional safety equipment. The second is an administrative change, i.e. relaxation of safety rules, i.e. change of the allowed outage time in technical specifications for one of the safety systems in the plant.
Both examples confirm applicability of the defined criteria. The first example can be allowed as the risk decreases due to the change. The second example cannot be allowed as the risk increases too much due to the change. Figure 3 shows the unacceptable risk of the second change.
Key words: probabilistic safety assessment, risk, criterion, safety, reliability
1 Uvod
Kriterij tveganja je meja, ki loči sprejemljivo od nesprejemljivega tveganja oz. loči, kaj je varno in kaj ni.
Namen raziskave je določiti kvantitativne kriterije tveganja za trajne spremembe v jedrski elektrarni, kar pomeni določitev kriterijev, ki bodo na podlagi
verjetnosti določenih dogodkov in njihovih posledic omogočili ločiti, katere trajne spremembe v jedrski elektrarni je varno narediti in katere ne.
Potreba za določitev kriterijev tveganja se je izoblikovala v zadnjih letih, ko se je na področju uporabe verjetnostnih varnostnih analiz doseglo soglasje glede uporabnosti sprejemanja odločitev z upoštevanjem tveganja [1], [2], [3], [4], [5]. Pot do soglasja glede sprejemanja odločitev na podlagi tveganja je bila dolga in je zahtevala precej naporov raziskovalcev, ki so dokazovali uporabnost verjetnostnih varnostnih analiz in njihovih rezultatov v pomoč pri odločanju [6], [7], [8], [9], [10], [11], [12], [13], [16].
Pregled nedavnih aktivnosti na področju kriterijev tveganja je v poročilih [4], [14], [15]. V nadaljevanju je predstavljen koncept definiranja kriterijev. Podani so ilustrativni primeri in najpomembnejše ugotovitve, ki izhajajo iz razvoja kriterijev in iz prikaza primerov.
2 Zasnova kriterijev tveganja
Določitev kriterijev je zasnovana tako, da je primerjano tveganje v osnovnem stanju elektrarne s tveganjem v stanju predvidene spremembe.
Spremembe, ki tveganje zmanjšajo, so lahko sprejemljive. Spremembe, ki le neznatno povečajo tveganje, so zaradi drugih morebitnih prednosti še lahko sprejemljive. Spremembe, ki znatneje povečajo tveganje, ne morejo biti sprejemljive, tudi če prinašajo druge morebitne prednosti [1], [4].
Temeljni pogoji za uporabo kvantitativnih kriterijev tveganja so:
-	predlagana sprememba mora ustrezati obstoječim zakonskim zahtevam,
-	predlagana sprememba mora ustrezati načelu varnosti v globino,
-	ob potencialni izvedbi predlagane spremembe bi še vedno obdržali zadostne varnostne meje,
-	kakovost modela in rezultatov verjetnostnih varnostnih analiz elektrarne mora ustrezati določenim minimalnim zahtevam, da so model in rezultati sprejemljivi za uporabo kvantitativnih kriterijev.
2.1 Merila tveganja
Uporabljena so naslednja merila tveganja [1], [4]:
-	frekvenca poškodbe sredice (CDF), ki je rezultat verjetnostnih varnostnih analiz in je odvisna od frekvenc začetnih dogodkov, kot so na primer: zlom velike cevi, zlom srednje velike cevi, popolna izguba električnega napajanja in verjetnosti kombinacij odpovedi varnostnih sistemov [1], [4],
-	sprememba frekvence poškodbe sredice (dCDF), ki jo dobimo kot razliko med CDF pri
določenem pogoju (CDFnew) in med nominalnim CDF (dCDF=CDFnew-CDF),
-	frekvenca velikih zgodnjih izpustov (LERF), ki je rezultat verjetnostnih varnostnih analiz in je odvisna od frekvenc začetnih dogodkov, kot so na primer: zlom velike cevi, zlom srednje velike cevi, popolna izguba električnega napajanja, in verjetnosti kombinacij odpovedi varnostnih sistemov vključno z upoštevanjem sistemov zadrževalnega hrama in samega zadrževalnega hrama (i.e. jeklena lupina, ki neprodušno zapira jedrski reaktor in pripadajoče sisteme in ki je obdana z železobetonsko steno),
-	sprememba frekvence velikih zgodnjih izpustov (dLERF) , ki jo dobimo kot razliko med LERF pri določenem pogoju (LERFnew) in med nominalnim LERF (dLERF=LERFnew-LERF).
2.2 Določitev kriterijev tveganja za trajne spremembe
V kategorijo trajnih sprememb sodijo spremembe v elektrarni, ki za stalno lahko spremenijo tveganje. Sem sodijo predvsem fizične spremembe glede opreme ali spremembe postopkov.
Poleg kvantitativnih kriterijev, ki so definirani v nadaljevanju, je treba upoštevati tveganje zaradi trajne spremembe tudi kvalitativno na podlagi strokovne ocene z upoštevanjem načela ALARP (As Low As Reasonably Practicable) [4].
Definirani sta dve množici kvantitativnih kriterijev:
-	kvantitativni kriteriji glede frekvence poškodbe sredice in
-	kvantitativni kriteriji glede frekvence velikih zgodnjih izpustov.
Trajna sprememba mora ustrezati vsaki od obeh množic kriterijev.
Primer I: Upravni organ obravnava trajno spremembo v jedrski elektrarni, če velja:
1.	Sprememba frekvence poškodbe sredice (dCDF) zaradi predlagane trajne spremembe tveganja je manjša od 0 (frekvenca poškodbe sredice po uveljavitvi predlagane spremembe bo manjša, kot je bila pred predlagano spremembo).
2.	Sprememba frekvence velikih zgodnjih izpustov (dLERF) zaradi predlagane trajne spremembe tveganja je manjša od 0 (frekvenca velikih zgodnjih izpustov po uveljavitvi predlagane spremembe bo manjša, kot je bila pred predlagano spremembo).
Obravnava trajne spremembe s strani upravnega organa za primer I lahko pomeni odobritev predlagane spremembe.
Primer II: Upravni organ obravnava trajno spremembo v jedrski elektrarni, če veljajo vse naslednje točke:
1.	Frekvenca poškodbe sredice (CDF), ki je izračunana z neodvisno preverjenim in celostnim modelom verjetnostnih varnostnih analiz, ki odraža dejansko stanje elektrarne pred predlagano spremembo in ki temelji na upoštevanju standarda o verjetnostnih varnostnih analizah, bistveno ne presega 1E-4/rl (rl pomeni: reaktor leto).
2.	Frekvenca velikih zgodnjih izpustov (LERF), ki je izračunana z neodvisno preverjenim in celostnim modelom verjetnostnih varnostnih analiz, ki odraža dejansko stanje elektrarne pred predlagano spremembo in ki temelji na upoštevanju standarda o verjetnostnih varnostnih analizah, bistveno ne presega 1E-5/rl (rl pomeni: reaktor leto).
3.	Sprememba frekvence poškodbe sredice (dCDF) zaradi predlagane trajne spremembe:
a)	ne presega 1% frekvence poškodbe sredice in hkrati
b)	ne presega vrednosti 1E-6/rl.
4.	Sprememba frekvence velikih zgodnjih izpustov (dLERF) zaradi predlagane trajne spremembe:
a)	ne presega 1% frekvence velikih zgodnjih izpustov in hkrati
b)	ne presega vrednosti 1E-7/rl.
5.	Ovrednotenje trajne spremembe s stališča tveganja je mogoče realno in ustrezno modelirati v verjetnostnih varnostnih analizah in je to tako tudi izvedeno; če ovrednotenje trajne spremembe s stališča tveganja ni mogoče realno in ustrezno modelirati v verjetnostnih varnostnih analizah, je treba spremembo drugače ovrednotiti. Zahteve glede modeliranja so zapisane v [3].
6.	Kumulativni prispevek tveganja zaradi predhodnih trajnih sprememb ni prevelik; priporočilo: vsota sprememb frekvence poškodbe sredice zaradi predhodnih trajnih sprememb ne presega 5% frekvence poškodbe sredice izračunane pred predlagano spremembo; vsota sprememb frekvence velikih zgodnjih izpustov zaradi predhodnih trajnih sprememb ne presega 5% frekvence velikih zgodnjih izpustov, izračunane pred predlagano spremembo; časovno obdobje je vsaj interval PSR - Periodic Safety Review.
Obravnava trajne spremembe s strani upravnega organa za primer II lahko pomeni odobritev predlagane spremembe.
Primer III: Upravni organ lahko obravnava trajno spremembo v jedrski elektrarni, če veljajo vse naslednje točke:
1.	Frekvenca poškodbe sredice (CDF), ki je izračunana z neodvisno preverjenim in celostnim modelom verjetnostnih varnostnih analiz, ki odraža dejansko stanje elektrarne pred predlagano spremembo in ki temelji na upoštevanju standarda o verjetnostnih varnostnih analizah, je manjša od 1E-4/rl.
2.	Frekvenca velikih zgodnjih izpustov (LERF), ki je izračunana z neodvisno preverjenim in celostnim modelom verjetnostnih varnostnih analiz, ki odraža dejansko stanje elektrarne pred predlagano spremembo in ki temelji na upoštevanju standarda o verjetnostnih varnostnih analizah, je manjša od 1E-5/rl.
3.	Sprememba frekvence poškodbe sredice (dCDF) zaradi predlagane trajne spremembe:
a)	ne presega 10% frekvence poškodbe sredice in hkrati
b)	ne presega vrednosti 1E-5/rl - večja ko je sprememba frekvence poškodbe sredice, podrobneje je treba proučiti vplive predlagane spremembe.
4.	Sprememba frekvence velikih zgodnjih izpustov (dLERF) zaradi predlagane trajne spremembe:
a)	ne presega 10% frekvence velikih zgodnjih izpustov in hkrati
b)	ne presega vrednosti 1E-6/rl - večja ko je sprememba frekvence velikih zgodnjih izpustov, podrobneje je treba proučiti vplive predlagane spremembe.
5.	Ovrednotenje trajne spremembe s stališča tveganja je mogoče realno in ustrezno modelirati v verjetnostnih varnostnih analizah in je tako tudi izvedeno; če ovrednotenje trajne spremembe s stališča tveganja ni mogoče realno in ustrezno modelirati v verjetnostnih varnostnih analizah, je treba spremembo drugače ovrednotiti.
6.	Kumulativni prispevek tveganja zaradi predhodnih trajnih sprememb ni prevelik; priporočilo: vsota sprememb frekvence poškodbe sredice zaradi predhodnih sprememb ne presega 10% frekvence poškodbe sredice izračunane pred predlagano spremembo; vsota sprememb frekvence velikih zgodnjih izpustov zaradi predhodnih sprememb ne presega 10% frekvence velikih zgodnjih izpustov, izračunane pred predlagano spremembo; časovno obdobje je vsaj interval PSR -Periodic Safety Review.
dCDF [/rl]
1 E-5 oz. 10%CDF
1 E-6 oz. 1 %CDF
Primer I
1 E-5
1 E-4
CDF [/rl]
Slika 1. Kvantitativni kriteriji glede frekvence poškodbe sredice (primer IV - nesprejemljivo tveganje). Figure 1. Quantitative risk criteria considering core damage frequency (primer IV - area of unacceptable risk).
dLERF [/rl]
1 E-6 oz.
10%LERF
1 E-7 oz. 1% LERF
Primer I
1 E-6
1 E-5
LERF [/rl]
Slika 2. Kvantitativni kriteriji glede frekvence velikih zgodnjih izpustov (primer IV - nesprejemljivo tveganje). Figure 2. Quantitative risk criteria considering large early release frequency (primer IV - area of unacceptable risk).
dCDF=1,66E-5/rl , CDF=3,61 E-5/rl za spremembo AOT za RWST (1 h->16h) for AOT change for RWST (1 h->16h)
dCDF [/rl]
1 E-5 oz. . 10%CDF
1 E-6 oz. 1 %CDF
Primer IV	♦		
Primer III			
Primer II			
Primer I
1 E-5
1 E-4
CDF [/rl]
Slika 3. Prikaz tveganja za potencialno spremembo dovoljenega časa izven obratovanja (AOT) za zbiralnik vode za menjavo goriva (RWST).
Figure 3. Risk connected with potential change of Allowed Outage time (AOT) for Refuelling Water Storage Tank (RWST).
Obravnava trajne spremembe s strani upravnega organa za primer III lahko pomeni odobritev predlagane spremembe.
Primer IV: Upravni organ ne more obravnavati trajne spremembe v jedrski elektrarni, če velja vsaj eno od naštetega:
1.	Sprememba frekvence poškodbe sredice (dCDF) zaradi predlagane trajne spremembe presega 10% frekvence poškodbe sredice ali presega 1E-5/rl; ali če pri CDF, večjem od 1E-4/rl, sprememba dCDF presega 1E-6/rl; ali če CDF bistveno presega 1E-4/rl.
2.	Sprememba frekvence velikih zgodnjih izpustov (dLERF) zaradi predlagane trajne spremembe presega 10% frekvence velikih zgodnjih izpustov ali presega 1E-6/rl; ali če pri LERF, večjem od 1E-5/rl, sprememba dLERF presega 1E-7/rl; ali če LERF bistveno presega 1E-5/rl.
Upravni organ ne more obravnavati trajne spremembe v jedrski elektrarni, če je ne moremo uvrstiti v enega izmed primerov I, II ali III.
Primer IV predstavlja nesprejemljivo območje tveganja.
Slika 1 shematično prikazuje povzetek navedenih kvantitativnih kriterijev glede frekvence poškodbe sredice.
Slika 2 shematično prikazuje povzetek navedenih kvantitativnih kriterijev glede frekvence velikih zgodnjih izpustov.
Glavna razlika navedene metode v primerjavi z ameriško metodo je v upoštevanju sprememb obeh meril tveganja tudi relativno poleg absolutnih meja, ki so predpisane v ameriški metodi [1].
3 Primera uporabe kriterijev
Izbrana sta dva primera uporabe. Prvi sodi med fizične spremembe v varnostnih sistemih, drugi pa med administrativne spremembe glede varnostnih zahtev, katerim mora biti v vsakem trenutku zadoščeno.
Oba primera sta vezana na verjetnostni varnostni model trizančne jedrske elektrarne z dvema enotama, ki ima več kot 20 let dobrih delovnih izkušenj, in od katerih je upoštevana ena enota. Ena izmed značilnosti elektrarne je, da je redundantni dizelski generator lahko vezan na katerokoli enoto.
3.1 Inštalacija dodatnega dizelskega generatorja
Kot primer trajne spremembe je vzeta potencialna inštalacija dodatnega dizelskega generatorja, ki bi ob izpadu zunanjega električnega napajanja zagotovil električno energijo za delovanje varnostnih sistemov v jedrski elektrarni, ki sicer že ima dva redundantna dizelska generatorja.
Izračun verjetnostnih varnostnih analiz elektrarne daje enega izmed rezultatov: CDF=3,61E-5/rl. Z
upoštevanjem sprememb v modelu verjetnostnih varnostnih analiz, ki ustrezajo inštalaciji potencialnega tretjega dizelskega generatorja, dobimo novo vrednost enega izmed rezultatov verjetnostnih varnostnih analiz: CDFnew=3,55E-5/rl.
Izračun dCDF kaže, ker je bilo sicer že vnaprej pričakovano in to je zmanjšanje tveganja (primer I) oz. izboljšanje varnosti, kar je dobro izhodišče za odobritev potencialne spremembe. Vendar analiza kaže tudi naslednje. Varnost se le malo poveča, hkrati so stroški spremembe zelo visoki, kar lahko kaže na slabo upravičenost spremembe.
3.2 Sprememba predpisov glede zbiralnika vode za
menjavo goriva
Za primer trajne spremembe je vzeta potencialna sprememba dovoljenega časa izven obratovanja za zbiralnik vode za menjavo goriva, ki je predpisana v tehničnih specifikacijah, in sicer z ene ure na 16 ur.
Trenutno obstaja v predpisih elektrarne oz. v njenih tehničnih specifikacijah zahteva, da je v primeru neoperabilnosti zbiralnika za dalj kot eno uro treba elektrarno privesti v varnejše stanje (v večini primerov je varnejše stanje ustavitev elektrarne). Potencialna sprememba predpisanega časa z ene ure na 16 ur bi dajala bistveno več časa na voljo za odpravo morebitnih težav z zbiralnikom, ne da bi bilo treba elektrarno zaustaviti.
Verjetnostne varnostne analize za navedeni primer kažejo naslednje. Izračun verjetnostnih varnostnih analiz elektrarne daje enega izmed rezultatov: CDF=3,61E-5/rl. Ker gre za oceno trenutnega stanja, je ta enaka tistemu v prejšnjem primeru.
Z upoštevanjem sprememb v modelu verjetnostnih varnostnih analiz, ki ustrezajo spremembi predpisanega časa, dobimo novo vrednost enega izmed rezultatov verjetnostnih varnostnih analiz: CDFnew=5,27E-5/rl.
Izračun dCDF kaže, da nerazpoložljivost zbiralnika precej vpliva na tveganje. Izračun kaže povečanje merila tveganja dCDF=1,66E-5/rl, kar je večje od sprejemljivega.
Glede na to, da potencialna sprememba pride v nesprejemljivo območje tveganja (primer IV), takšna sprememba ne more biti sprejemljiva. Slika 3 grafično kaže, da je tveganje v nesprejemljivem območju.
4 Sklep
Namen raziskave je bil določiti kriterije, ki bodo na podlagi verjetnosti določenih dogodkov in njihovih posledic omogočili ločiti, katere trajne spremembe v jedrski elektrarni je varno narediti in katere ne.
Članek predstavlja način, kako določiti kriterije tveganja za trajne spremembe v jedrski elektrarni. Kriteriji tveganja so zastavljeni tako, da je morebitno povečanje tveganja omejeno tako absolutno kot relativno. Vrednosti kvantitativnih kriterijev tveganja za
trajne spremembe so izbrane na način, ki upošteva svetovno prakso in razmere v Sloveniji.
V primerjavi z ameriško metodo, ki je v svetu precej poznana in ki temelji le na absolutni omejitvi tveganja, so dodane še relativne omejitve tveganja. Te preprečujejo, da bi se v primeru, ko bi verjetnostne varnostne analize pokazale izredno nizke vrednosti meril tveganja, lahko dovoljevale tudi nekajkratno povečanje tveganja.
Čeprav kriteriji glede frekvence poškodbe sredice niso neodvisni od kriterijev glede frekvence velikih zgodnjih izpustov, so upoštevani oboji kriteriji. Pravzaprav je strožje od obeh meril tveganja tisto, ki prevlada. Za sprejemljivost določene spremembe morajo biti izpolnjeni kriteriji vezani na oba parametra: frekvenca poškodbe sredice (CDF) in frekvenca velikih zgodnjih izpustov LERF). I.e. sprememba mora zadostiti tako kriterijem glede frekvence poškodbe sredice in glede njene spremembe ter kriterijem glede frekvence velikih zgodnjih izpustov in glede njihove spremembe.
5 Literatura
[1]	RG 1.174, An Approach for Using Probabilistic Risk Assessment in Risk-Informed Decisions on Plant-Specific Changes to the Licensing Basis, US NRC Regulatory Guide 1.174, Rev. 1, 2002.
[2]	RG 1.177, An Approach for Plant-Specific, Risk-Informed	Decisionmaking:	Technical Specifications, US NRC Regulatory Guide 1.177, 1998.
[3]	RG 1200, An Approach for Determining the Technical Adequacy of Probabilistic Risk Assessment Results for Risk-Informed Activities, Regulatory Guide for Trial Use, US NRC, 2004.
[4]	M. Čepin, R. Jordan Cizelj, B. Mavko, Razvoj kvantitativnih in kvalitativnih kriterijev za uporabo verjetnostnih varnostnih analiz pri odločanju, Institut Jožef Stefan, IJS-DP-8861, 2004.
[5]	P. Samanta, I. S. Kim, T. Mankamo, W. E. Vesely, Handbook of Methods for Risk-Based Analyses of Technical Specifications, NUREG/CR-6141, US NRC, 1995.
[6]	ASME RA-S-2002, Standard for Probabilistic Risk Assessment for Nuclear Power Plant Applications, 2002.
[7]	PRA Procedures Guide, NUREG/CR-2300, US NRC, 1982.
[8]	M. Čepin, B. Mavko, Probabilistic Safety Assessment Improves Surveillance Requirements in Technical Specifications, Reliability
Engineering and System Safety, 1997, Vol. 56, pp. 69-77.
[9]	M. Čepin, B. Mavko, A Dynamic Fault Tree, Reliability Engineering and System Safety, 2002, Vol. 75, pp. 83-91.
[10]	M. Čepin, B. Mavko, Optimizacija intervalov nadzornega preizkušanja v jedrski elektrarni na osnovi verjetnostih varnostnih analiz, Elektrotehniški Vestnik, Ljubljana, 1996, Vol. 63 (3), str. 179-185.
[11]	B. Mavko, M. Čepin, Primerjava strategij preizkušanja, Elekrotehniški vestnik, Ljubljana, 1997, Vol. 64 (2/3), pp. 142-147.
[12]	M. Čepin, Optimization of Safety Equipment Outages Improves Safety, Reliability Engineering and System Safety, 2002, Vol. 77, pp.71-80.
[13]	M. Čepin, Analysis of Truncation Limit in Probabilistic Safety Assessment, Reliability Engineering and System Safety, 2005, Vol. 87 (3), pp. 395-403.
[14]	H. P. Berg, R. Goertz, E. Schimetschka, Quantitative Probabilistic Safety Criteria for Licensing and Operation of Nuclear Plants, BFS-SK-03/03, 2003.
[15]	NKS-44, J. Holmberg, U. Puikkinen, T. Rosquist, K. Simola, Decision Criteria in PSA Applications, 2001.
[16]	R. Prosen, I. Vrbanic, M. Kaštelan, On-Line Maintenance PSA Support at NPP Krško, Nuclear Energy in Central Europe 2000, Proceedings, no. 609, pp. 1-9
Marko Čepin je diplomiral leta 1992 na Fakulteti za elektrotehniko in računalništvo ter magistriral leta 1995 in doktoriral leta 1999 na Fakulteti za matematiko in fiziko Univerze v Ljubljani. Zaposlen je na Institutu "Jožef Stefan", Odsek za reaktorsko tehniko. Leta 2002 je bil izvoljen v naziv docent na Fakulteti za elektrotehniko. Njegovo glavno področje raziskav sta razvijanje in analiza metod za izboljševanje zanesljivosti in varnosti sistemov.